Как читать журнал и фильтровать события
Когда использовать
Когда нужно понять, что происходило в кластере: кто и когда входил, какие попытки входа сорвались, что меняли в ролях и настройках. С этого же начинается разбор инцидента — сначала выборка по времени и категории, потом одна запись целиком.
Всё, что описано дальше, живёт на одном экране — Security Event Log. На нём таблица событий, панель фильтров, карточка отдельной записи и настройки писем о критических событиях.
Инструкция не про выгрузку файлов и не про проверку хеш-цепочки: это в «Как выгрузить журнал, скачать архив и проверить целостность». Модель события и уровней важности разобрана в «Журнале безопасности».
Предусловия
- глобальная роль уровня кластера — Cluster master или Security Admin;
чтение событий требует привилегии
ViewSecurityLog, отметка о прочтении —AcknowledgeSecurityEvent, правка настроек писем —EditSecurityNotifySettings(только Cluster master); - версия vStack Center — 3.0.3.
Кнопки и пункты меню, на которые не хватает привилегии, на экране не показываются. Пропавшая кнопка означает нехватку прав.
Шаги
Шаг 1. Откройте журнал
- Откройте Sites → нужный кластер.
- В дереве навигации слева выберите Security Event Log. Путь в хлебных крошках: Sites → кластер → Security Event Log.
- Останьтесь на вкладке Current events — это события в таблице журнала. Вкладка Archived events показывает архивные файлы, работа с ними — в отдельной инструкции.
Шаг 2. Прочитайте таблицу
Таблица вкладки Current events несёт колонки ID, Created, Event type, Severity, Result, User, Category — номер записи, время, тип, важность, итог, пользователя и категорию. Над таблицей — поиск Search in table, под ней — постраничная навигация с выбором размера страницы (10, 25 или 50 записей).
Читайте таблицу по трём колонкам сразу. Severity отделяет критическое от
фонового, Result со значением Failure выделяет неудавшиеся действия,
User отвечает на вопрос «чьё это было действие». Непрочитанные события трёх
верхних уровней важности подсвечены в строке — их видно при листании, искать не
нужно.
Поиск Search in table работает по показанной странице: по номеру, времени, типу, важности, категории и пользователю. Он не заменяет фильтры — чтобы сузить весь журнал, а не страницу, переходите к шагу 3.
Шаг 3. Сузьте выборку фильтрами и периодом
Панель фильтров открывает кнопка с воронкой справа от поиска. В ней пять полей:
| Поле | Что выбирается |
|---|---|
| Category | область события: authentication, virtual machines, configuration, role, system, integrity |
| Severity | уровень важности: emergency, alert, critical, error, warning, notice, info |
| Result | итог: Success или Failure |
| Type | конкретный тип события из списка, который держит кластер |
| User | пользователь-субъект из списка пользователей кластера |
Панель показывает подписи интерфейса, а в самой записи и в выгрузке те же
категории стоят короткими кодами: authentication — это auth,
virtual machines — vm, configuration — config; role, system
и integrity совпадают. Итог в записи — success или failure. Важность
совпадает с подписью. Это важно при чтении CSV и JSON: фильтровать выгрузку
нужно по кодам, а не по подписям панели.
Категория, важность и итог выбираются по одному значению: повторный щелчок по выбранному значению снимает фильтр. Тип и пользователь выбираются из списка, выбранное значение показывается под полем и снимается крестиком. Кнопка Reset снимает все пять фильтров сразу.
Диапазон по времени задаётся отдельно — кнопкой Select date над таблицей. Она открывает календарь выбора периода; выбранный период сужает таблицу вместе с фильтрами панели.
Список пересобирается сразу после каждого изменения, подтверждать выбор не нужно. Счётчик под таблицей показывает, сколько записей на странице и сколько всего попало в выборку.
Шаг 4. Откройте одну запись целиком
Щёлкните номер записи в колонке ID — откроется карточка Additional Information. В ней поля, которых нет в колонках таблицы:
| Поле карточки | Что показывает |
|---|---|
| Object name, Object type, Object ID | объект, над которым шло действие; у события без объекта — прочерк |
| Details | дополнительные сведения о событии |
| Remote IP | адрес клиента |
| Event UUID | UUID события |
| Request ID | UUID запроса к кластеру, породившего запись |
| Record Hash | SHA-256 хеш записи — звено цепочки |
Дальше разбор идёт по Request ID. Этим номером событие сшивается с обращением, которое его породило: если одно действие оставило несколько записей, у них будет один Request ID.
Шаг 5. Разберитесь с критическими событиями
Пока у вас есть непрочитанные критические события — три верхних уровня важности, — в шапке горит индикатор critical event с их числом. Щелчок по индикатору открывает журнал, уже суженный по этим трём уровням.
О новом критическом событии кластер сообщает всплывающим уведомлением: щелчок по нему открывает карточку самой свежей записи.
Разобранные события отметьте прочитанными кнопкой Mark all as read над таблицей — она гасит индикатор в шапке и снимает подсветку строк. Кнопка есть только тогда, когда непрочитанные критические события действительно есть.
Отметка персональная. Она отвечает на вопрос «ознакомился ли с событием текущий пользователь», а не «разобрала ли команда»: у другого администратора то же событие останется непрочитанным.
Шаг 6. Настройте письма о критических событиях
- Нажмите Actions над таблицей и выберите Notification settings.
- Включите переключатель Enable email notifications.
- В поле Recipients введите адрес получателя и нажмите Enter — адрес встанет в список под полем. Так добавляются несколько адресов; лишний снимается крестиком.
- В поле Minimum severity for email выберите порог важности. События ниже порога писем не порождают.
- Нажмите Save.
Кнопка Save остаётся неактивной, пока адрес не прошёл проверку или пока в форме ничего не изменилось. После сохранения появляется сообщение «Notification settings updated».
Правка настроек писем открыта только роли Cluster master. Security Admin видит настройки, но сохранить их не может.
Проверка результата
Сверьте таблицу и карточку на одном событии. Возьмите номер из колонки ID, откройте карточку и убедитесь, что она относится к тому же событию: Event UUID и Record Hash заполнены, а Request ID есть у всех записей одного действия.
Проверьте фильтр: выберите Category — authentication и Result — Failure,
в таблице останутся только неудавшиеся попытки входа. Кнопка Reset должна
вернуть полный список.
Проверьте отметку о прочтении: после Mark all as read индикатор critical event в шапке исчезает, подсветка строк снимается, а сама кнопка пропадает до следующего критического события.
Если не получилось
Карточка записи не открывается, событие не найдено (-11202). Записи с
таким номером в таблице журнала уже нет — она уехала в архив при автоархивации.
Обход — искать событие на вкладке Archived events, в архивных файлах.
Список не загрузился, ошибка базы (-24000). Кластер не смог прочитать
журнал. Данные не теряются: обновите страницу, а при устойчивом повторении
проверяйте состояние базы vStack Center.
В выборке слишком много записей, листать неудобно. Сузьте её фильтрами и периодом, а не размером страницы: поиск Search in table работает только по показанной странице и полной картины не даёт.
Настройки писем не сохраняются (-24007). Значение не прошло проверку:
адрес получателя введён с ошибкой либо не нажат Enter и адрес не попал в
список. Проверьте адреса в списке под полем и повторите сохранение — уже
сохранённые настройки при отказе не меняются.
В меню Actions нет пункта Notification settings. У роли нет привилегии на настройки писем. Правка открыта только Cluster master.
Индикатор critical event не гаснет после отметки. Отметка персональная, а индикатор считает непрочитанное текущего пользователя. Проверьте, что отметку поставили под тем же пользователем, под которым смотрите журнал.
Методы API
Операции этой страницы в API: security-event-list, security-event-get,
security-event-types, security-event-critical-count,
security-event-acknowledge, security-event-notify-settings-get,
security-event-notify-settings-set — см.
Справочник API.
См. также
- Журнал безопасности — состав записи, уровни важности, хеш-цепочка.
- Как выгрузить журнал, скачать архив и проверить целостность — файлы выгрузки, архивы, проверка цепочки.
- Роли и привилегии — привилегии журнала и области их действия.