Como exportar o log, baixar um arquivo compactado e verificar a integridade

Quando usar

Quando você precisa do log como arquivo: para enviar uma seleção de eventos a um sistema externo, anexar uma seleção a uma investigação de incidente ou fornecer a um auditor todos os registros de um período. Esta página também aborda o trabalho com arquivos compactados — registros removidos da tabela do log pelo arquivamento automático — e o início da verificação da cadeia de hashes, que confirma que o log não foi alterado.

Tudo é feito na tela Security Event Log: as exportações e a verificação ficam na guia Current events, os arquivos compactados ficam na guia Archived events, e as configurações ficam no menu Actions.

As três operações servem a três finalidades diferentes e não devem ser usadas de forma intercambiável.

Tarefa	Onde clicar	O que você obtém
Uma seleção pontual baseada em filtros	CSV ou JSON na guia Current events	um arquivo nos downloads do navegador; ele não é armazenado no cluster
Registros de períodos anteriores	o tamanho do arquivo compactado na guia Archived events	um arquivo compactado .csv.gz do armazenamento permanente
Prova de que o log não foi alterado	Verify integrity	uma varredura da cadeia de hashes SHA-256 e um relatório da última verificação

Para ler e filtrar eventos, consulte Como ler o log e filtrar eventos; para o modelo do log, consulte Log de segurança.

Pré-requisitos

• um papel global de nível de cluster — Cluster master ou Security Admin. Privilégios por operação: ExportSecurityLog — exportação, ViewSecurityArchive — listar arquivos compactados, ExportSecurityArchive — baixar um arquivo compactado, ViewSecurityArchiveSettings — ler as configurações de arquivamento, VerifySecurityLog (id 10002) — iniciar a verificação. A edição das configurações de arquivamento (EditSecurityArchiveSettings, id 10006) está disponível somente para o Cluster master;
• versão do vStack Center — 3.0.3;
• acesso ao diretório de arquivos compactados no nó de gerenciamento, se você precisar obter o arquivo diretamente de lá, sem passar pela interface.

Etapas

Etapa 1. Exporte os eventos para um arquivo

1. Abra Sites → o cluster desejado → Security Event Log na árvore de navegação à esquerda.

2. Permaneça na guia Current events.

3. Restrinja a seleção: defina o intervalo de tempo com Select date e, se necessário, defina filtros no painel do funil. A exportação usa os mesmos filtros e o mesmo intervalo de tempo da tabela que você vê.

4. Clique em CSV ou JSON acima da tabela, conforme o formato desejado. Um indicador de carregamento aparece no botão enquanto o arquivo é criado.

   

O cluster envia o arquivo concluído ao navegador, que o salva nos downloads. O arquivo não permanece no cluster: para obter a mesma seleção novamente, repita a exportação.

Uma única exportação é limitada a 100 000 registros. Se mais registros corresponderem aos filtros, a interface não cria o arquivo; ela informa o número de registros na seleção e pede que você restrinja os filtros.

Etapa 2. Visualize a lista de arquivos compactados

O arquivamento automático move os registros antigos do log para arquivos CSV compactados. A guia Archived events os exibe.

Coluna	O que mostra
Period	o período abrangido pelo arquivo compactado
Records	o número de registros no arquivo compactado
Size	tamanho do arquivo; esse valor também é o botão de download
Checksum	checksum SHA-256; a célula mostra o início do checksum, enquanto a dica de ferramenta mostra o valor completo e permite copiá-lo
Created	quando o arquivo compactado foi criado

Um arquivo compactado ainda em criação também aparece na lista, mas sem contagem de registros, checksum ou horário; um indicador de carregamento aparece no lugar do tamanho. Ainda é cedo para baixar esse arquivo.

Search in table pesquisa nas cinco colunas — é útil para encontrar um arquivo compactado de um período específico.

Etapa 3. Baixe e verifique o arquivo compactado

Clique no tamanho do arquivo na coluna Size — o cluster verifica o checksum e envia o arquivo ao navegador. Antes de baixar, copie o valor da coluna Checksum: esse é o valor de referência para comparação.

Verifique o arquivo baixado do seu lado — o checksum e a descompactação:

shasum -a 256 security_log_a3f1b2c4_03_01_2025.csv.gz
gunzip -t security_log_a3f1b2c4_03_01_2025.csv.gz && echo "архив целый"

O checksum deve corresponder ao valor da coluna Checksum. Diferentemente de uma exportação, um arquivo compactado permanece no diretório de armazenamento do nó de gerenciamento após o download — ele pode ser obtido novamente.

Etapa 4. Ative ou desative o arquivamento automático

A chave Autoarchiving fica acima da tabela na guia Current events. ON significa que os registros antigos são removidos da tabela; OFF desativa isso. A interface mostra um aviso ao lado da chave desativada.

Com o arquivamento automático desativado, a tabela do log cresce sem remover registros, e nenhum novo arquivo compactado é criado. Monitore o espaço livre por conta própria.

Uma mensagem sobre o novo estado do arquivamento automático aparece após a alternância, e a lista de eventos é recarregada.

Etapa 5. Ajuste as configurações de arquivamento

1. Clique em Actions acima da tabela e selecione Archive settings.
2. Preencha os campos do formulário:

Campo	O que controla	Limites
Max log size (MB)	limite de tamanho da tabela do log que dispara a remoção dos registros antigos	de 10 MB a 16 GB, ou seja, de 10 a 16384
Disk space alert threshold (MB)	limite de espaço livre abaixo do qual o cluster emite um aviso	no mínimo 100
Archive path	diretório de armazenamento dos arquivos compactados	comprimento de 1–256 caracteres

3. Clique em Save.

Os dois tamanhos são especificados em megabytes — o formulário os converte para as unidades do cluster. Save permanece desativado enquanto nada no formulário tiver mudado ou um valor não tiver passado na validação. Após salvar, aparece a mensagem "Archive settings updated".

O item Archive settings do menu Actions está disponível somente para o Cluster master: o Security Admin pode visualizar as configurações, mas não pode alterá-las.

Etapa 6. Inicie a verificação da cadeia de hashes

1. Na guia Current events, clique em Verify integrity acima da tabela.
2. Na caixa de diálogo de confirmação, leia que a verificação da cadeia de hashes SHA-256 será executada para o log inteiro e clique em Start. Para desistir, clique em Cancel.

A verificação é executada em segundo plano: o cluster divide o log em partes e as verifica simultaneamente. Enquanto ela está em execução, Verify integrity mostra o percentual de conclusão e não aceita outro clique — apenas uma verificação é executada no cluster por vez. Você não precisa manter a tela aberta: o resultado permanece no relatório da última verificação.

Etapa 7. Leia o resultado da verificação

Quando a verificação termina, aparece a mensagem "Integrity verification completed", e o relatório Last verify integrity aparece ao lado do botão — o horário e o resultado da última verificação.

O que o relatório mostra	Significado
uma marca verde e uma contagem de registros	a cadeia está íntegra; todos os registros do log foram verificados
uma marca vermelha e um ID de registro	a cadeia está rompida nesse registro; clicar no ID abre o cartão dele
um ícone com a dica "Verification failed"	a verificação não terminou; execute-a novamente

Quando a cadeia estiver rompida, comece a investigação pelo registro cujo ID aparece no relatório: o log é consistente até esse registro, e o elo se rompe ali.

Verifique o resultado

Exportação: o arquivo aparece nos downloads do navegador e abre, e sua contagem de linhas corresponde ao contador de registros abaixo da tabela.

Arquivo compactado: o checksum do arquivo baixado corresponde à coluna Checksum, e gunzip -t é concluído sem erros.

Verificação da cadeia: Verify integrity não mostra mais um percentual, e Last verify integrity mostra o horário, uma marca verde e o número de registros verificados. Uma marca vermelha com um ID de registro significa o contrário — a cadeia está rompida.

Solução de problemas

A exportação não inicia: a seleção ultrapassa 100 000 registros. A interface informa quantos registros há na seleção e pede que você restrinja os filtros. Solução alternativa — restrinja o intervalo de tempo ou a categoria e obtenha o log em partes; use os arquivos compactados para períodos mais antigos. O cluster aplica o mesmo limite às requisições feitas fora da interface — rejeição -24001.

O arquivo de exportação não foi criado, erro de gravação (-24002). Não foi possível gravar o arquivo no nó de gerenciamento; uma causa comum é falta de espaço livre. Verifique o espaço livre do nó e o valor de Disk space alert threshold (MB) nas configurações de arquivamento.

O arquivo compactado não foi baixado: arquivo não encontrado (-24003). A lista de arquivos compactados está desatualizada — o arquivo já foi removido do diretório de armazenamento. Solução alternativa — atualize a guia Archived events e baixe o arquivo compactado da lista atualizada.

O arquivo compactado não é entregue: checksum não confere (-24004). O cluster verifica o SHA-256 antes de entregar o arquivo e se recusou a enviá-lo: o arquivo compactado no disco está corrompido. Esse arquivo não pode ser "reparado" — exporte o período necessário da tabela do log, se os registros ainda estiverem lá, e investigue a mídia de armazenamento.

Não é possível clicar no tamanho do arquivo compactado; aparece um indicador de carregamento em vez dele (-24008). O arquivo compactado ainda está sendo criado: ele não tem contagem de registros, checksum nem horário de criação. Solução alternativa — aguarde até que esses campos apareçam e tente baixar novamente.

As configurações de arquivamento não são salvas (-24006, -24007). Um valor está fora dos limites: o tamanho do log está fora do intervalo de 10 a 16384 MB, o limite de espaço livre está abaixo de 100 MB ou o caminho é longo demais. Solução alternativa — verifique a tabela de limites na etapa 5. Save permanece desativado até que o valor seja corrigido.

Não é possível clicar no botão Verify integrity (-11201). A verificação da cadeia já está em execução, e o cluster não iniciará uma segunda. Solução alternativa — aguarde a conclusão: o percentual no botão mostra o progresso.

O menu Actions não tem o item Archive settings. O papel não tem o privilégio para editar as configurações de arquivamento — somente o Cluster master pode fazer isso.

O arquivo .csv.gz baixado não pode ser descompactado, e seu tamanho excede o valor da coluna Size. Esse é um problema à parte — corrupção do arquivo compactado durante o download pela interface. Investigação e solução alternativa: Um arquivo compactado do log de segurança baixado não abre.

Métodos da API

Operações da API abordadas nesta página: security-event-export, security-event-archive-list, security-event-archive-export, security-event-archive-settings-get, security-event-archive-settings-set, security-event-log-verify, security-event-log-status, security-verification-statuses — consulte a referência da API.

Veja também

• Log de segurança — a cadeia de hashes, os status de verificação e as configurações de arquivamento.
• Como ler o log e filtrar eventos — os filtros usados para criar a exportação.
• Um arquivo compactado do log de segurança baixado não abre — solução de problemas de um arquivo compactado corrompido.
• Papéis e privilégios — privilégios de exportação, de arquivos compactados e de verificação.