Cómo exportar el registro, descargar un archivo y verificar la integridad

Cuándo usar esto

Cuando necesite el registro como archivo: para enviar una selección de eventos a un sistema externo, adjuntar una selección a la investigación de un incidente o proporcionar a un auditor todos los registros de un período. Esto también abarca el trabajo con archivos (los registros que el archivado automático ha eliminado de la tabla del registro) y el inicio de la verificación de la cadena de hashes, que confirma que el registro no ha sido alterado.

Todo se realiza en la pantalla Security Event Log: las exportaciones y la verificación están en la pestaña Current events, los archivos están en la pestaña Archived events y la configuración está en el menú Actions.

Las tres operaciones sirven para tres fines distintos y no deben usarse indistintamente.

Tarea	En qué hacer clic	Qué obtiene
Una selección puntual basada en filtros	CSV o JSON en la pestaña Current events	un archivo en las descargas del navegador; no se almacena en el clúster
Registros de períodos anteriores	el tamaño del archivo en la pestaña Archived events	un archivo .csv.gz del almacenamiento permanente
Prueba de que el registro no ha sido alterado	Verify integrity	un recorrido de la cadena de hashes SHA-256 y un informe sobre la última verificación

Para leer y filtrar eventos, consulte Cómo leer el registro y filtrar eventos; para el modelo del registro, consulte Registro de seguridad.

Requisitos previos

• un rol global a nivel de clúster: Cluster master o Security Admin. Privilegios por operación: ExportSecurityLog: exportar; ViewSecurityArchive: listar archivos; ExportSecurityArchive: descargar un archivo; ViewSecurityArchiveSettings: leer la configuración de archivos; VerifySecurityLog (id 10002): iniciar la verificación. La edición de la configuración de archivos (EditSecurityArchiveSettings, id 10006) está disponible solo para Cluster master;
• versión de vStack Center: 3.0.3;
• acceso al directorio de archivos en el nodo de administración, si necesita obtener el archivo directamente desde allí sin pasar por la interfaz.

Pasos

Paso 1. Exportar eventos a un archivo

1. Abra Sites → el clúster requerido → Security Event Log en el árbol de navegación de la izquierda.

2. Permanezca en la pestaña Current events.

3. Acote la selección: establezca el intervalo de tiempo con Select date y, si es necesario, defina filtros en el panel del embudo. La exportación usa los mismos filtros e intervalo de tiempo que la tabla que ve.

4. Haga clic en CSV o JSON sobre la tabla según el formato requerido. Mientras se crea el archivo, aparece un indicador de carga en el botón.

   

El clúster envía el archivo terminado al navegador, que lo guarda en las descargas. El archivo no permanece en el clúster: para obtener de nuevo la misma selección, repita la exportación.

Una sola exportación está limitada a 100 000 registros. Si hay más registros que coinciden con los filtros, la interfaz no crea el archivo; informa del número de registros de la selección y le pide que acote los filtros.

Paso 2. Ver la lista de archivos

El archivado automático traslada las entradas antiguas del registro a archivos CSV comprimidos. La pestaña Archived events los muestra.

Columna	Qué muestra
Period	el período que abarca el archivo
Records	el número de registros del archivo
Size	tamaño del archivo; este valor también es el botón de descarga
Checksum	suma de comprobación SHA-256; la celda muestra el comienzo de la suma, mientras que la información sobre herramientas muestra el valor completo y permite copiarlo
Created	cuándo se creó el archivo

Un archivo que todavía se está creando también aparece en la lista, pero sin número de registros, suma de comprobación ni hora; en lugar del tamaño aparece un indicador de carga. Todavía es pronto para descargar ese archivo.

Search in table busca en las cinco columnas; es útil para encontrar el archivo de un período concreto.

Paso 3. Descargar y comprobar el archivo

Haga clic en el tamaño del archivo en la columna Size: el clúster comprueba la suma de comprobación y envía el archivo al navegador. Antes de descargarlo, copie el valor de la columna Checksum: es el valor de referencia para la comparación.

Compruebe el archivo descargado por su cuenta, tanto su suma de comprobación como su descompresión:

shasum -a 256 security_log_a3f1b2c4_03_01_2025.csv.gz
gunzip -t security_log_a3f1b2c4_03_01_2025.csv.gz && echo "архив целый"

La suma de comprobación debe coincidir con el valor de la columna Checksum. A diferencia de una exportación, un archivo permanece en el directorio de almacenamiento del nodo de administración después de descargarlo: puede volver a obtenerse.

Paso 4. Activar o desactivar el archivado automático

El interruptor Autoarchiving está sobre la tabla en la pestaña Current events. ON significa que los registros antiguos se eliminan de la tabla; OFF lo desactiva. La interfaz muestra una advertencia junto al interruptor desactivado.

Con el archivado automático desactivado, la tabla del registro crece sin que se eliminen registros y no se crean archivos nuevos. Supervise usted mismo el espacio libre.

Después de cambiar el interruptor, aparece un mensaje sobre el nuevo estado del archivado automático y la lista de eventos se vuelve a cargar.

Paso 5. Ajustar la configuración de archivos

1. Haga clic en Actions sobre la tabla y seleccione Archive settings.
2. Rellene los campos del formulario:

Campo	Qué controla	Límites
Max log size (MB)	umbral de tamaño de la tabla del registro que provoca la eliminación de los registros antiguos	de 10 MB a 16 GB, es decir, de 10 a 16384
Disk space alert threshold (MB)	umbral de espacio libre por debajo del cual el clúster emite una advertencia	al menos 100
Archive path	directorio de almacenamiento de archivos	longitud de 1 a 256 caracteres

3. Haga clic en Save.

Ambos tamaños se indican en megabytes; el formulario los convierte a las unidades del clúster. Save permanece desactivado mientras no haya cambiado nada en el formulario o algún valor no haya superado la validación. Después de guardar, aparece el mensaje "Archive settings updated".

El elemento Archive settings del menú Actions solo está disponible para Cluster master: Security Admin puede ver la configuración, pero no modificarla.

Paso 6. Iniciar la verificación de la cadena de hashes

1. En la pestaña Current events, haga clic en Verify integrity sobre la tabla.
2. En el cuadro de diálogo de confirmación, lea que se ejecutará la verificación de la cadena de hashes SHA-256 para todo el registro y, a continuación, haga clic en Start. Para rechazar, haga clic en Cancel.

La verificación se ejecuta en segundo plano: el clúster divide el registro en partes y las comprueba de forma simultánea. Mientras se ejecuta, Verify integrity muestra el porcentaje completado y no acepta otro clic: en el clúster solo se ejecuta una verificación a la vez. No es necesario mantener la pantalla abierta: el resultado se conserva en el informe de la última verificación.

Paso 7. Leer el resultado de la verificación

Cuando finaliza la verificación, aparece el mensaje "Integrity verification completed" y junto al botón aparece el informe Last verify integrity, con la hora y el resultado de la última verificación.

Qué muestra el informe	Significado
una marca verde y un número de registros	la cadena está intacta; se comprobaron todas las entradas del registro
una marca roja y un ID de registro	la cadena está rota en este registro; al hacer clic en el ID se abre su ficha
un icono con la información sobre herramientas "Verification failed"	la verificación no finalizó; vuelva a ejecutarla

Cuando la cadena está rota, comience la investigación por el registro cuyo ID aparece en el informe: el registro es coherente hasta esa entrada y el enlace se rompe ahí.

Verificar el resultado

Exportación: el archivo aparece en las descargas del navegador y se abre, y su número de filas coincide con el contador de registros que hay debajo de la tabla.

Archivo: la suma de comprobación del archivo descargado coincide con la columna Checksum y gunzip -t termina sin errores.

Verificación de la cadena: Verify integrity ya no muestra un porcentaje y Last verify integrity muestra la hora, una marca verde y el número de registros comprobados. Una marca roja con un ID de registro significa lo contrario: la cadena está rota.

Solución de problemas

La exportación no se inicia: la selección supera los 100 000 registros. La interfaz informa de cuántos registros hay en la selección y le pide que acote los filtros. Solución alternativa: acote el intervalo de tiempo o la categoría y obtenga el registro por partes; use los archivos para los períodos más antiguos. El clúster aplica el mismo límite a las solicitudes realizadas fuera de la interfaz: rechazo -24001.

No se creó el archivo de exportación, error de escritura (-24002). No se pudo escribir el archivo en el nodo de administración; una causa habitual es la falta de espacio libre. Compruebe el espacio libre del nodo y Disk space alert threshold (MB) en la configuración de archivos.

El archivo no se descargó: archivo no encontrado (-24003). La lista de archivos está desactualizada: el archivo ya se ha eliminado del directorio de almacenamiento. Solución alternativa: actualice la pestaña Archived events y descargue el archivo de la lista actualizada.

El archivo no se entrega: la suma de comprobación no coincide (-24004). El clúster comprueba SHA-256 antes de entregar el archivo y se ha negado a enviarlo: el archivo en disco está dañado. Un archivo así no se puede "reparar": exporte el período requerido desde la tabla del registro si los registros siguen allí e investigue el soporte de almacenamiento.

No se puede hacer clic en el tamaño del archivo; en su lugar aparece un indicador de carga (-24008). El archivo todavía se está creando: no tiene número de registros, suma de comprobación ni hora de creación. Solución alternativa: espere a que aparezcan estos campos y vuelva a intentar la descarga.

La configuración de archivos no se guarda (-24006, -24007). Un valor está fuera de los límites: el tamaño del registro está fuera del intervalo de 10 a 16384 MB, el umbral de espacio libre es inferior a 100 MB o la ruta es demasiado larga. Solución alternativa: consulte la tabla de límites del paso 5. Save permanece desactivado hasta que se corrija el valor.

No se puede hacer clic en el botón Verify integrity (-11201). Ya se está ejecutando una verificación de la cadena y el clúster no iniciará una segunda. Solución alternativa: espere a que termine; el porcentaje del botón muestra el progreso.

El menú Actions no tiene el elemento Archive settings. El rol no tiene el privilegio para editar la configuración de archivos: solo Cluster master puede hacerlo.

El archivo .csv.gz descargado no se puede descomprimir y su tamaño supera el valor de la columna Size. Se trata de un problema distinto: el archivo se daña durante la descarga a través de la interfaz. Investigación y solución alternativa: El archivo descargado del registro de seguridad no se puede abrir.

Métodos de la API

Operaciones de la API que se tratan en esta página: security-event-export, security-event-archive-list, security-event-archive-export, security-event-archive-settings-get, security-event-archive-settings-set, security-event-log-verify, security-event-log-status, security-verification-statuses; consulte la referencia de la API.

Véase también

• Registro de seguridad: la cadena de hashes, los estados de verificación y la configuración de archivos.
• Cómo leer el registro y filtrar eventos: los filtros usados para crear la exportación.
• El archivo descargado del registro de seguridad no se puede abrir: solución de problemas de un archivo dañado.
• Roles y privilegios: privilegios de exportación, archivos y verificación.