セキュリティ監査証跡とシステムログの統合
Cockpit は、管理アクション、認証の試み、およびシステム構成の変更に関する不変の監査ログを維持します。監査証跡はコンプライアンスの追跡を提供し、セキュリティ診断をサポートします。
監査イベント
セキュリティサブシステムは、次のイベントを記録します。
- 認証: ログイン、ログアウト、パスワード変更、認証の失敗、およびアカウントのロックアウトの成功。
- 仮想マシンのライフサイクル: プロビジョニング、削除、電源状態の変更、リソースのスケーリング、およびライブマイグレーション。
- リソースの構成: ネットワークブリッジの作成、ストレージデータストアのフォーマット、および物理ホストの登録。
- アクセス制御の変更: ユーザーアカウントの作成、グループメンバーシップの変更、およびスコープ付き権限の割り当て。
ログエントリスキーマ
各監査ログエントリには、イベントのコンテキストを記録するための構造化されたメタデータが含まれています。
- タイムスタンプ: イベントが発生した日時を示す、高精度の UTC タイムスタンプ (ISO 8601 に準拠)。
- サブジェクト: コマンドを実行した管理者のユーザー名と送信元 IP アドレス。
- アクション (Action): アクションの識別子 (例:
VM_POWER_OFF、USER_CREATED)。 - オブジェクト: ターゲットリソースの一意識別子 (UUID) および名前 (例: VM
sales-reporting-app)。 - ステータス: アクションの結果 (成功、エラー詳細を含む失敗、または権限不足によるブロック)。
SIEM と Syslog の転送
企業のコンプライアンスとセキュリティ分析の一元化のために、Cockpit は監査ログを外部の Security Information and Event Management (SIEM) システム (Splunk や Elasticsearch など) にリアルタイムで転送できます。
Syslog 転送の構成:
- 管理資格情報を使用して Cockpit コンソールにログインします。
- Settings > System > Syslog Forwarding に移動します。
- Add Forwarding Target を選択します。
- 送信先のプロパティを構成します。
- Host: syslog コレクターの IP アドレスまたはホスト名。
- Protocol:
UDP、TCP、またはTLSを選択します (転送中のログペイロードを暗号化するために TLS が推奨されます)。 - Port: 通常、標準の syslog トラフィック用のポート
514、またはセキュリティチームによって定義されたカスタムポート。 - Format:
RFC 5424(構造化 syslog 形式) またはJSON形式を選択します。
- 構成を保存して、リアルタイムのログストリーミングを開始します。