Cómo leer el registro y filtrar eventos
Cuándo usar esto
Cuando necesite entender qué ocurrió en el clúster: quién inició sesión y cuándo, qué intentos de inicio de sesión fallaron y qué cambió en los roles y la configuración. También es el punto de partida para investigar un incidente: primero seleccione los eventos por hora y categoría, y después examine una entrada individual completa.
Todo lo que se describe a continuación está en una sola pantalla: Security Event Log. Contiene la tabla de eventos, el panel de filtros, la ficha de cada entrada y la configuración de notificaciones por correo electrónico para eventos críticos.
Este procedimiento no abarca la exportación a archivos ni la verificación de la cadena de hashes: consulte Cómo exportar el registro, descargar un archivo y verificar la integridad. El modelo de eventos y de gravedad se describe en Registro de seguridad.
Requisitos previos
- un rol global a nivel de clúster: Cluster master o Security Admin; para
leer eventos se necesita
ViewSecurityLog, para marcarlos como leídos,AcknowledgeSecurityEvent, y para editar la configuración de correo electrónico,EditSecurityNotifySettings(solo Cluster master); - versión de vStack Center: 3.0.3.
Los botones y los elementos de menú para los que no tiene el privilegio necesario no se muestran. Si falta un botón, significa que no tiene permisos suficientes.
Pasos
Paso 1. Abrir el registro
- Abra Sites → el clúster requerido.
- En el árbol de navegación de la izquierda, seleccione Security Event Log. La ruta de navegación (breadcrumb) es Sites → clúster → Security Event Log.
- Permanezca en la pestaña Current events: son los eventos de la tabla del registro. La pestaña Archived events muestra los archivos; el trabajo con ellos se trata en un procedimiento aparte.
Paso 2. Leer la tabla
La tabla de la pestaña Current events tiene las columnas ID, Created, Event type, Severity, Result, User y Category: identificador de la entrada, hora, tipo, gravedad, resultado, usuario y categoría. Sobre la tabla está Search in table; debajo, la paginación con un selector de tamaño de página (10, 25 o 50 entradas).
Lea tres columnas en conjunto. Severity separa los eventos críticos de la
actividad de fondo, Result con el valor Failure identifica las acciones
fallidas, y User responde a «¿quién realizó esta acción?». Los eventos no leídos
de los tres niveles de gravedad superiores tienen las filas resaltadas: puede verlos
al recorrer la tabla sin necesidad de buscar.
Search in table busca en la página mostrada por identificador, hora, tipo, gravedad, categoría y usuario. No sustituye a los filtros: para acotar todo el registro y no solo la página, vaya al paso 3.
Paso 3. Acotar la selección con filtros y un intervalo de tiempo
El botón con forma de embudo situado a la derecha de la búsqueda abre el panel de filtros. Tiene cinco campos:
| Campo | Qué selecciona |
|---|---|
| Category | área del evento: authentication, virtual machines, configuration, role, system, integrity |
| Severity | nivel de gravedad: emergency, alert, critical, error, warning, notice, info |
| Result | resultado: Success o Failure |
| Type | un tipo de evento concreto de la lista que mantiene el clúster |
| User | el usuario que realizó la acción, de la lista de usuarios del clúster |
El panel muestra las etiquetas de la interfaz, mientras que la entrada y la
exportación usan códigos cortos para las mismas categorías: authentication es
auth, virtual machines es vm y configuration es config; role, system e
integrity coinciden. El resultado en la entrada es success o failure. La
gravedad coincide con la etiqueta. Esto es importante al leer CSV y JSON: filtre la
exportación por los códigos y no por las etiquetas del panel.
Categoría, gravedad y resultado admiten un único valor seleccionado cada uno: al volver a hacer clic en el valor seleccionado, se borra el filtro. El tipo y el usuario se seleccionan de listas; el valor seleccionado aparece bajo el campo y se puede quitar con la X. Reset borra los cinco filtros a la vez.
El intervalo de tiempo se establece aparte con Select date, sobre la tabla. Abre un calendario para seleccionar un período; el período seleccionado acota la tabla junto con los filtros del panel.
La lista se actualiza inmediatamente después de cada cambio; no es necesario confirmar. El contador situado bajo la tabla muestra cuántas entradas hay en la página y cuántas en toda la selección.
Paso 4. Abrir una entrada individual completa
Haga clic en el identificador de la entrada en la columna ID para abrir la ficha Additional Information. Contiene campos que no figuran en las columnas de la tabla:
| Campo de la ficha | Qué muestra |
|---|---|
| Object name, Object type, Object ID | el objeto sobre el que se realizó la acción; un guion para un evento sin objeto |
| Details | información adicional sobre el evento |
| Remote IP | dirección del cliente |
| Event UUID | UUID del evento |
| Request ID | UUID de la solicitud al clúster que generó la entrada |
| Record Hash | hash SHA-256 de la entrada: un eslabón de la cadena |
Continúe la investigación mediante Request ID. Este identificador vincula el evento con la solicitud que lo generó: si una acción produjo varias entradas, todas compartirán el mismo Request ID.
Paso 5. Atender los eventos críticos
Mientras tenga eventos críticos no leídos (de los tres niveles de gravedad superiores), la cabecera muestra el indicador critical event con su número. Al hacer clic en el indicador, se abre el registro filtrado por esos tres niveles.
El clúster notifica un nuevo evento crítico mediante una notificación emergente: al hacer clic en ella, se abre la ficha de la entrada más reciente.
Marque los eventos revisados como leídos con Mark all as read, sobre la tabla: esto elimina el indicador de la cabecera y quita el resaltado de las filas. El botón solo aparece cuando hay eventos críticos no leídos.
La marca de leído es personal. Responde a «¿ha revisado el usuario actual este evento?» y no a «¿lo ha investigado el equipo?»: el mismo evento sigue sin leer para otro administrador.
Paso 6. Configurar los correos para eventos críticos
- Haga clic en Actions, sobre la tabla, y seleccione Notification settings.
- Active el interruptor Enable email notifications.
- En Recipients, introduzca la dirección de un destinatario y pulse Enter: la dirección aparece en la lista bajo el campo. Añada así varias direcciones; quite las que no desee con la X.
- En Minimum severity for email, seleccione el umbral de gravedad. Los eventos por debajo del umbral no generan correos.
- Haga clic en Save.
Save permanece deshabilitado mientras la dirección no supere la validación o no se haya cambiado nada en el formulario. Tras guardar, aparece el mensaje "Notification settings updated".
Solo el rol Cluster master puede editar la configuración de correo electrónico. Security Admin puede ver la configuración, pero no guardarla.
Los correos en sí los envía el dispatcher de vStack Center a través de un servidor
SMTP cuya dirección se configura en la VM de gestión, no en este formulario. Mientras
no se configure el servidor, no sale ningún correo, aunque la configuración se guarde
sin errores. El umbral predeterminado es alert: con él, solo llegan correos por
infracciones de integridad. La configuración del servidor, la elección del umbral y
la comprobación de la entrega se tratan en
Cómo configurar las notificaciones por correo electrónico del registro de seguridad.
Comprobar el resultado
Compare la tabla y la ficha del mismo evento. Tome un identificador de la columna ID, abra la ficha y confirme que se refiere al mismo evento: Event UUID y Record Hash tienen valor, y todas las entradas de una misma acción tienen un Request ID.
Compruebe el filtro: seleccione Category — authentication y Result —
Failure; en la tabla solo deben quedar los intentos fallidos de inicio de sesión.
Reset debe restaurar la lista completa.
Compruebe la marca de leído: después de Mark all as read, el indicador critical event desaparece de la cabecera, se quita el resaltado de las filas y el propio botón desaparece hasta el siguiente evento crítico.
Solución de problemas
La ficha de la entrada no se abre, evento no encontrado (-11202). Ya no hay
ninguna entrada con este identificador en la tabla del registro: el archivado
automático la trasladó a un archivo. Solución alternativa: busque el evento en los
archivos de la pestaña Archived events.
La lista no se cargó, error de base de datos (-24000). El clúster no pudo leer
el registro. No se pierde ningún dato: actualice la página; si el fallo persiste,
compruebe el estado de la base de datos de vStack Center.
La selección tiene demasiadas entradas para recorrerla con comodidad. Acótela con filtros y un intervalo de tiempo en lugar del tamaño de página: Search in table solo funciona en la página mostrada y no ofrece la visión completa.
La configuración de correo electrónico no se guarda (-24007). Un valor no
superó la validación: la dirección del destinatario se introdujo de forma incorrecta,
o no se pulsó Enter y la dirección no se añadió a la lista. Revise las
direcciones de la lista bajo el campo y vuelva a intentar guardar; la configuración
ya guardada no cambia cuando falla el guardado.
El menú Actions no tiene el elemento Notification settings. El rol carece del privilegio para la configuración de correo electrónico. Solo Cluster master puede editarla.
El indicador de eventos críticos permanece después de marcar los eventos como leídos. La marca de leído es personal, y el indicador cuenta los eventos no leídos del usuario actual. Compruebe que marcó los eventos con la misma cuenta de usuario con la que está viendo el registro.
Métodos de la API
Operaciones de la API tratadas en esta página: security-event-list,
security-event-get, security-event-types, security-event-critical-count,
security-event-acknowledge, security-event-notify-settings-get,
security-event-notify-settings-set — consulte la
referencia de la API.
Véase también
- Registro de seguridad: campos de las entradas, niveles de gravedad y la cadena de hashes.
- Cómo exportar el registro, descargar un archivo y verificar la integridad: archivos de exportación, archivos y verificación de la cadena.
- Cómo configurar las notificaciones por correo electrónico del registro de seguridad: el servidor SMTP, el umbral, el contenido de los correos y la comprobación de la entrega.
- Roles y privilegios: privilegios del registro y sus ámbitos.