Лог-файл аудита

Вывод аудита logfile — это единственный вывод для аудита. Он записывает данные в файл <clustername>_audit.json в каталоге журналов.

События аудита форматируются как JSON-документы, и каждое событие печатается в отдельной строке в файле <clustername>_audit.json. Сами записи не содержат разделителей конца строки. Формат JSON событий аудита несколько специфичен, так как большинство полей используют синтаксис с точкой, упорядочены и содержат непустые строковые значения. Этот формат создаёт структурированный столбчатый аспект, подобный CSV, что упрощает визуальный осмотр (по сравнению с эквивалентным вложенным JSON-документом).

Однако есть несколько атрибутов, которые являются исключениями из вышеупомянутого формата. Атрибуты put, delete, change, create и invalidate, которые присутствуют только для событий с атрибутом event.type: "security_config_change", содержат вложенное JSON-представление изменения в безопасности, которое вступило в силу. Таким образом, содержимое изменения конфигурации безопасности не отображается как поля с именами через точку на верхнем уровне в документе события аудита. Это потому, что поля специфичны для определенного типа изменений безопасности и не отображаются ни в каких других событиях аудита. Следовательно, преимущества столбчатого формата ограничены; в данном случае предпочтение отдаётся преимуществам экономии места вложенной структуры.

Когда присутствует атрибут request.body (см. Аудит поисковых запросов), он содержит строковое значение, содержащее полное тело HTTP-запроса, закодированное в соответствии с JSON RFC 4677.

Есть список типов событий аудита, определяющий набор полей, а также примеры для каждого типа записи.

События и другая информация о том, что регистрируется, могут быть управляемы с помощью настроек в файле elasticsearch.yml. См. Настройки событий аудита и Настройки информации о локальном узле.

Вы также можете настроить, как записывается лог-файл, в файле log4j2.properties, расположенном в ES_PATH_CONF (или ознакомьтесь с соответствующей частью log4j2.properties в исходниках). По умолчанию информация об аудите добавляется в файл <clustername>_audit.json, расположенный в стандартном каталоге Elasticsearch logs (обычно расположенном в $ES_HOME/logs). Файл также вращается и архивируется ежедневно или при достижении лимита размера файла в 1 ГБ.