Обзор логов безопасности в интерфейсе

Связка Audit Logs, модулей логирования и вкладки «Логи».

Где смотреть логи #

Вся работа с логами в графическом интерфейсе выполняется через вкладку Логи дашборда кластера.

• Откройте нужный кластер.
• В боковом меню выберите Дашборд.
• Перейдите на вкладку Логи.

Вкладка доступна на дашборде развёрнутого кластера. Данные на вкладках дашборда обновляются автоматически.

Условия доступности логов #

Для отображения логов на вкладке Логи должны быть выполнены условия:

1. В кластере включён Модуль локального сбора логов (Vector, shturval-log-collector).
2. В кластере управления работает shturval-metrics-collector.

Дополнительно для Audit Logs (логи обращений к API Kubernetes) требуется:

• либо включить расширенные настройки безопасности при создании кластера (политика аудита настроится автоматически);
• либо вручную настроить Audit Policy и сбор логов /var/log/kube-api-audit/audit.log, как описано на странице
  Настройка Audit Logs.

Какие проекты логов доступны #

В VLogs под логи создаются соответствующие проекты (ProjectID). На вкладке Логи доступна фильтрация по ProjectID:

Логи в проектах сгруппированы по стримам (stream). Стрим — это набор логов с уникальным набором параметров, где параметр состоит из пары "поле": "значение" лога. Наименование стрима соответствует значению поля _stream.

В интерфейсе отображаются счётчики по количеству логов и стримов в выбранном проекте.

Временной диапазон #

На вкладке Логи можно получить сведения:

• за последние 15 минут;
• за последние 30 минут;
• за последний час — выбран по умолчанию;
• за весь день;
• за выбранный диапазон времени.

Скачивание логов #

На вкладке Логи можно скачать:

• полный log-файл;
• log-файл с учётом настроенных фильтров.

Файл скачивается с расширением .log. Название формируется автоматически: префикс Logs, дата загрузки и количество записей.

Поиск логов #

Поиск по тексту #

Для поиска используйте шаблон параметр:значение_параметра через двоеточие и без пробелов.

Примеры:

kubernetes.pod_name:shturval-local-csi-node-6g6nh
kubernetes.pod_name:shturval-local-csi-node
message.level:warning | message.id:1

Поддерживается поиск по нескольким ключам. Для этого используйте разделитель |.

Поиск выполняется внутри выбранного ProjectID в выборке, соответствующей выбранному временному диапазону.

Поиск по параметрам #

Для фильтрации по параметрам нажмите + рядом с заголовком Параметры поиска. В открывшемся окне выберите поле, оператор и укажите значение.

Доступные операторы:

При поиске по параметрам учитывайте особенности:

• Заданные параметры фильтрации объединяются по принципу логического AND (И). Например, если заданы параметры message.level=warning и message.id=1, отобразятся логи, соответствующие обоим условиям.
• В перечень для настройки параметров попадают поля логов, предварительно отфильтрованные по проекту, временному диапазону и поиску по тексту. Если нужного поля нет в перечне, измените преднастроенные фильтры.
• Поиск по параметрам может выполняться по частичному совпадению в значениях полей, за исключением специальных параметров. Например, при параметре kubernetes.pod_name=kub в выборку попадут логи, у которых поле kubernetes.pod_name содержит комбинацию kub.

Специальные параметры #

При поиске по специальным параметрам выбранный оператор не учитывается. Поиск выполняется по точному полному совпадению и только по одному значению — первому указанному.

Одновременный поиск по параметрам и тексту работает по логическому оператору AND (И).

Особенности логов безопасности #

Логи аутентификации, авторизации и назначения прав доступа #

Логи аутентификации, авторизации, назначения прав доступа, а также логи, связанные с инфраструктурой, находятся в кластере управления.

Чтобы проанализировать такие события:

1. Откройте кластер управления (management cluster).
2. Перейдите на Дашборд → вкладка Логи.
3. Выберите соответствующий ProjectID (как правило, kube system namespaces, journald или kube audit в зависимости от типа события).
4. Используйте поиск по тексту или параметрам.

Логи аудита API Kubernetes (Audit Logs) #

Если в кластере включены расширенные настройки безопасности, в кластере пишутся события безопасности, а в VLogs создаётся проект с ProjectID kube audit. Сведения о событиях соответствуют правилам настроенной политики аудита событий в Kubernetes.

Расширенные настройки безопасности доступны при добавлении кластера. Проверить, включены ли они в существующем кластере, можно на вкладке Кластер дашборда.

См. также #

• Как смотреть логи в платформе.
• Настройка Audit Logs.
• Экспорт логов безопасности в SIEM.