Enable ISM Server User operation Auditing

問題提出： ISMServer由於管理原因授權其他使用者有activate及處理profile、element的許可權。有天發現ISMServer上面的監控的Profile莫名其妙的被人刪了，實在發現這是個安全隱患。

解決： 到$NCHOME/ism/profiles/deleted裡面把查詢一下，把被刪除的profile複製到active下面

cd $NCHOME/ism/profile/deleted

cp xxxxxxx.xml ../active

修改passfile的登入密碼，進行相應的許可權限制

開啟日誌審計

vi $NCHOME/ism/ismserver/ismserver.props

編輯

auditlog=true
auditlogfile=ismserver_useraudit.log
auditlogfilesize=10000

重啟ismserver

./ismserver_stop.sh

nohup ./ismserver_start.sh &

登入ismserver檢查是否有日誌記錄

cd /opt/netcool/log/ism/

[root@ismServer ism]# more ismserver_useraudit.log
13/August/2009:09:32:17 -- 192.168.103.135 ism -- ACTION: LOGOUT -- -- RESULT: SUCCESS
13/August/2009:09:32:24 -- 192.168.103.135 - -- ACTION: LOGIN -- USERNAME: ism PASSWORD: sdlf -- RESULT: FAILURE
13/August/2009:09:32:31 -- 192.168.103.135 ism -- ACTION: LOGIN -- -- RESULT: SUCCESS
[root@ismServer ism]#

可以看到有審計的日誌，每天透過此日誌審計，使用者是否有越權操作，責任到人。

其實最好的方式是把使用者的許可權限制到最少，什麼操作都做不得，至少沒有增刪的許可權。

參考netcool infocenter文章

[@more@]