Güvenlik günlüğü e-posta bildirimleri nasıl ayarlanır

Ne zaman kullanılır

Güvenlik yöneticisinin bir bütünlük ihlalinden veya bir hesap kilitlenmesinden günlüğü açmadan, e-posta yoluyla haberdar olması gerektiğinde. Başlıktaki critical event göstergesi yalnızca o anda arayüzde bulunan kişiye görünür. E-posta ise her durumda gelir.

Bildirimler iki yerde yapılandırılır. Posta sunucusu, yönetim VM'sindeki vStack Center dağıtıcısının ortam dosyasında ayarlanır. Etkinleştirme, alıcılar ve önem düzeyi eşiği günlük arayüzünde ayarlanır. Sunucu olmadan arayüz formu hatasız kaydedilir, ancak hiçbir e-posta gönderilmez. "Ayarladık ama hiçbir şey gelmiyor" durumunun en yaygın nedeni budur.

Ön koşullar

• yönetim VM'sinden kimlik doğrulama olmadan posta kabul eden bir SMTP sunucusu. Dağıtıcının oturum açma adı, parola veya şifreleme modu için ayarı yoktur;
• yönetim VM'sine root olarak SSH erişimi;
• bildirim ayarlarını kaydetmek için Cluster master rolü. Security Admin ayarları görüntüleyebilir ancak kaydedemez;
• vStack Center 3.0.3 veya üzeri.

Adımlar

Adım 1. Yönetim VM'sinde posta sunucusunu ayarlayın

Parametreleri /usr/local/etc/vstack_center_dispatcher.env dağıtıcı ortam dosyasına ekleyin:

SMTP_HOST=192.0.2.25
SMTP_PORT=25
SMTP_SEND_FROM=vstack-security@example.com
SMTP_TIMEOUT=15000

Parametre	Değer
SMTP_HOST	SMTP sunucusu adresi. Boş bir değer veya eksik bir satır gönderimi devre dışı bırakır
SMTP_PORT	Bağlantı noktası, varsayılan olarak 25
SMTP_SEND_FROM	Gönderen adresi. Bu olmadan e-postalar no-reply@vstack.com adresinden gönderilir ve kuruluşunuzun posta sunucusu yabancı bir etki alanından gelen postayı reddedebilir
SMTP_TIMEOUT	Milisaniye cinsinden bağlantı zaman aşımı, varsayılan olarak 15000

Yönetim VM'sinden giden bağlantılar varsayılan olarak kısıtlanmamıştır. Bunları kısıtladıysanız SMTP sunucusunun bağlantı noktasını açın.

Adım 2. Dağıtıcıyı yeniden başlatın ve günlüğü kontrol edin

service vstack_center_dispatcher restart

Dağıtıcı parametreleri yalnızca başlatma sırasında okur. /var/log/vstack-center-dispatcher/ altındaki günlükte şu satırlardan birini bulun:

Satır	Anlamı
SMTP initialized: host=…, port=…	Posta aktarımı oluşturuldu; arayüze geçin
SMTP_HOST not set — email notifications disabled	Dağıtıcı parametreyi okumadı: dosya adını ve SMTP_HOST satırını kontrol edin

SMTP initialized, sunucunun erişilebilir olduğu anlamına gelmez. Dağıtıcı sunucuya yalnızca bir e-posta gönderirken bağlanır.

Adım 3. Günlükte bildirimleri etkinleştirin

1. Sites → küme → Security Event Log öğesini açın.
2. Tablonun üzerindeki Actions düğmesine tıklayın ve Notification settings öğesini seçin.
3. Enable email notifications seçeneğini açın.
4. Recipients alanına bir adres yazın ve Enter tuşuna basın. Adres, alanın altındaki listeye eklenir. Birkaç adresi aynı şekilde ekleyin; bir adresi çarpı simgesiyle kaldırın.
5. Minimum severity for email alanında eşiği seçin.
6. Save düğmesine tıklayın. "Notification settings updated" iletisi görünür.

Bir ayar değişikliği günlüğe config.security_settings_changed olarak yazılır. 1. adımda ortam dosyasının düzenlenmesi API'yi atlar ve günlüğe kaydedilmez.

Adım 4. Önem düzeyi eşiğini seçin

Önem düzeyi eşikte veya eşiğin üzerinde olan bir olay için e-posta gönderilir. Varsayılan eşik alert düzeyidir. Olay türü sözlüğünde emergency olayı yoktur, bu nedenle alert ile e-postalar yalnızca beş bütünlük ihlali için gelir.

Eşik	E-postaların geldiği olaylar
alert (varsayılan)	integrity.file_violation, integrity.config_violation, integrity.vm_config_violation, integrity.manifest_invalid, integrity.log_chain_broken
critical	yukarıdakilerin tümü, ayrıca auth.account_locked, system.disk_space_exhausted, os.kernel_panic ve diğer critical olaylar
error ve daha düşük	yukarıdakilerin tümü, ayrıca düğümün ve sanallaştırma servisinin temiz olmayan kapanmaları (os.shutdown_unclean, system.service_stopped_unclean) ve seçilen düzeydeki diğer olaylar

critical event göstergesi en üst üç düzeyi sayar. Göstergeyi yakan olaylarla aynı olaylar için e-posta almak üzere eşiği critical olarak ayarlayın. Varsayılan eşikle bir hesap kilitlenmesi ve tükenen disk alanı arayüzde görünür, ancak e-posta oluşturmaz.

İçe aktarma sırasında imaj sağlama toplamı uyuşmazlığı (integrity.image_sha256_mismatch), bütünlük kategorisine ait olmasına rağmen warning önem düzeyine sahiptir. Yalnızca warning veya daha düşük bir eşikle e-posta oluşturur.

error düzeyinin altındaki bir eşik, rutin olaylar hakkında bir e-posta akışı oluşturur: başarısız bir oturum açma warning, başarılı bir oturum açma ise info düzeyindedir.

E-postanın içeriği

Konu [vStack Security] <event name> — <severity code> biçimindedir, örneğin [vStack Security] Блокировка учётной записи — critical. Olay adı olay türü sözlüğünden gelir ve her zaman Rusçadır.

Gövde düz metindir ve o da Rusçadır:

Событие безопасности
Наименование: Блокировка учётной записи
Уровень: Критическое состояние (critical)
Дата/время: 2026-10-09T08:15:42.118305+00:00
Субъект: operator (uid=17)
Объект: user/17 (operator)
Результат: success
IP: 198.51.100.40

Satırlar şunlardır: olay adı, önem düzeyi, tarih ve saat, özne (kullanıcı adı ve kimliği), nesne (tür, kimlik, ad), sonuç ve kaynak IP adresi. Eksik bir alanın yerine tire konur. Her alıcı ayrı bir e-posta alır.

Bir e-postayı okurken üç noktayı göz önünde bulundurun:

• e-postadaki zaman, günlük kaydının zamanı değil, e-postanın UTC cinsinden oluşturulduğu zamandır. Fark genellikle saniyenin bir kesridir, ancak kayıtları buna göre milisaniye hassasiyetinde eşleştiremezsiniz;
• e-postada kayıt numarası veya olay UUID'si yoktur. Kaydı günlükte olay türü ve zamana göre filtreleyerek bulun — bkz. Günlüğü okuma ve olayları filtreleme;
• e-posta, kayıt kaydedildikten sonra gönderilir. Kayıt geri alınırsa e-posta gönderilmez. Yavaş veya erişilemeyen bir sunucu günlük kaydını geciktirmez.

Sonucu doğrulayın

Test e-postası düğmesi yoktur, bu nedenle teslimi gerçek bir olayla kontrol edin. En kolayı bir hesap kilitlenmesidir:

1. Eşiği critical olarak ayarlayın.
2. Bir test hesabı oluşturun ve başarısız oturum açma denemesi sınırını doldurun. Günlüğe auth.account_locked kaydı düşer.
3. Dağıtıcı günlüğü, her alıcı için bir satır olmak üzere email notify: sent to <address> veya nedeniyle birlikte email notify: failed to send to <address> gösterir.
4. Alıcının posta kutusunu kontrol edin.
5. Test hesabının kilidini açın veya hesabı silin ve farklı bir eşiğe ihtiyacınız varsa eşiği geri yükleyin.

sent to, e-postanın posta kutusuna ulaştığı değil, SMTP sunucusunun e-postayı kabul ettiği anlamına gelir. Günlükte sent to yazıyorsa ve e-posta yoksa istenmeyen posta klasörüne ve posta sunucusu günlüğüne bakın.

Sorun giderme

Ayarlar kaydediliyor, ancak e-posta gelmiyor. Dağıtıcı günlüğünde en son başlatmaya ait girdiyi bulun. SMTP_HOST not set — email notifications disabled yazıyorsa veya SMTP initialized satırı yoksa posta sunucusu ayarlanmamıştır. Bu durumda eşiğin üzerindeki olaylar günlükte email notify: SMTP not available oluşturur. 1. ve 2. adımları uygulayın.

E-posta yok ve günlükte olayla ilgili hiçbir şey yok. Olay eşiğin altındadır, bildirimler kapalıdır veya alıcı listesi boştur. Bu durumlarda dağıtıcı e-postayı sessizce atlar. Notification settings formunu ve kayıt kartındaki olay önem düzeyini kontrol edin.

Günlükte failed to send to <address> yazıyor. SMTP sunucusu erişilemez durumda veya e-postayı reddetti. Neden aynı satırdadır. Yaygın olanlar: sunucu kimlik doğrulama veya TLS gerektiriyor, gönderen yabancı bir etki alanından (SMTP_SEND_FROM değerini ayarlayın), bağlantı noktası kapalı. Yeniden deneme yoktur: o olayın e-postası kaybolur, günlük kaydı kalır.

vStack Center yükseltmesinden sonra e-postalar durdu. Dağıtıcı ortam dosyası, yükseltmeler dahil her yönetim VM'si yapılandırma dağıtımında yeniden oluşturulur ve SMTP_* satırları kaybolur. Her yükseltmeden sonra günlükte SMTP initialized satırını kontrol edin ve gerekirse 1. ve 2. adımları tekrarlayın.

Ayarlar kaydedilmiyor (-24007). Bir alıcı adresinde yazım hatası var veya Enter tuşuna basılmadığı için adres listede değil.

Actions menüsünde Notification settings öğesi yok. Rolde View Security Notify Settings yetkisi yoktur. Ayarları yalnızca Cluster master kaydedebilir.

Sınırlamalar

• Dağıtıcı SMTP oturum açma adını, parolasını veya TLS'yi desteklemez. Posta sunucunuz kimlik doğrulama gerektiriyorsa, yönetim VM'sinden kimlik doğrulama olmadan posta kabul eden bir ara aktarıcıya (relay) ihtiyacınız vardır.
• Yeniden deneme yoktur. Bir teslim hatası yalnızca dağıtıcı günlüğünde görünür; güvenlik günlüğünde veya arayüzde görünmez.
• Posta sunucusu yalnızca ortam dosyasında ayarlanır. Arayüz veya API üzerinden yapılandırılamaz ve bir yükseltme bu ayarı siler.

API yöntemleri

Bu sayfadaki işlemlerin API karşılıkları: security-event-notify-settings-get, security-event-notify-settings-set — bkz. API başvurusu.

Ayrıca bkz.

• Güvenlik günlüğü — önem düzeyleri ve kritik olaylar.
• Günlüğü okuma ve olayları filtreleme — kritik olay göstergesi ve okundu işareti.