Esempi di messaggi di audit
Puoi trovare informazioni dettagliate in ogni messaggio di controllo. Tutti i messaggi di controllo utilizzano lo stesso formato.
Di seguito è riportato un esempio di messaggio di controllo come potrebbe apparire nel audit.log
file:
2014-07-17T21:17:58.959669 [AUDT:[RSLT(FC32):SUCS][TIME(UI64):246979][S3AI(CSTR):"bc644d 381a87d6cc216adcd963fb6f95dd25a38aa2cb8c9a358e8c5087a6af5f"][ S3AK(CSTR):"UJXDKKQOXB7YARDS71Q2"][S3BK(CSTR):"s3small1"][S3K Y(CSTR):"hello1"][CBID(UI64):0x50C4F7AC2BC8EDF7][CSIZ(UI64):0 ][AVER(UI32):10][ATIM(UI64):1405631878959669][ATYP(FC32):SPUT ][ANID(UI32):12872812][AMID(FC32):S3RQ][ATID(UI64):1579224144 102530435]]
Il messaggio di controllo contiene informazioni sull'evento registrato, nonché informazioni sul messaggio di controllo stesso.
Per identificare quale evento viene registrato dal messaggio di controllo, cercare l'attributo ATYP (evidenziato di seguito):
2014-07-17T21:17:58.959669 [AUDT:[RSLT(FC32):SUCS][TIME(UI64):246979][S3AI(CSTR):"bc644d 381a87d6cc216adcd963fb6f95dd25a38aa2cb8c9a358e8c5087a6af5f"][ S3AK(CSTR):"UJXDKKQOXB7YARDS71Q2"][S3BK(CSTR):"s3small1"][S3K Y(CSTR):"hello1"][CBID(UI64):0x50C4F7AC2BC8EDF7][CSIZ(UI64):0 ][AVER(UI32):10][ATIM(UI64):1405631878959669][ATYP(FC32):SP UT][ANID(UI32):12872812][AMID(FC32):S3RQ][ATID(UI64):1579224 144102530435]]
Il valore dell'attributo ATYP è SPUT. "SPUT" rappresenta una transazione S3 PUT, che registra l'inserimento di un oggetto in un bucket.
Il seguente messaggio di controllo mostra anche il bucket a cui è associato l'oggetto:
2014-07-17T21:17:58.959669 [AUDT:[RSLT(FC32):SUCS][TIME(UI64):246979][S3AI(CSTR):"bc644d 381a87d6cc216adcd963fb6f95dd25a38aa2cb8c9a358e8c5087a6af5f"][ S3AK(CSTR):"UJXDKKQOXB7YARDS71Q2"][S3BK\(CSTR\):"s3small1"][S3 KY(CSTR):"hello1"][CBID(UI64):0x50C4F7AC2BC8EDF7][CSIZ(UI64): 0][AVER(UI32):10][ATIM(UI64):1405631878959669][ATYP(FC32):SPU T][ANID(UI32):12872812][AMID(FC32):S3RQ][ATID(UI64):157922414 4102530435]]
Per scoprire quando si è verificato l'evento PUT, annotare il timestamp UTC (Universal Coordinated Time) all'inizio del messaggio di controllo. Questo valore è una versione leggibile dall'uomo dell'attributo ATIM del messaggio di controllo stesso:
2014-07-17T21:17:58.959669 [AUDT:[RSLT(FC32):SUCS][TIME(UI64):246979][S3AI(CSTR):"bc644d 381a87d6cc216adcd963fb6f95dd25a38aa2cb8c9a358e8c5087a6af5f"][ S3AK(CSTR):"UJXDKKQOXB7YARDS71Q2"][S3BK(CSTR):"s3small1"][S3K Y(CSTR):"hello1"][CBID(UI64):0x50C4F7AC2BC8EDF7][CSIZ(UI64):0 ][AVER(UI32):10][ATIM\(UI64\):1405631878959669][ATYP(FC32):SP UT][ANID(UI32):12872812][AMID(FC32):S3RQ][ATID(UI64):15792241 44102530435]]
ATIM registra il tempo, in microsecondi, trascorso dall'inizio dell'epoca UNIX. Nell'esempio, il valore 1405631878959669
si traduce in giovedì 17-lug-2014 21:17:59 UTC.