Событиями являются сообщения межсетевого экрана более высокого уровня, т.е. не связанные напрямую с пакетами (как в случае статистики). К событиям относятся сообщения, которые генерируются одним из трех главных модулей (пакетным фильтром, транслятором сетевых адресов или модулем шифрования/аутентификации) или каким-либо другим компонентом межсетевого экрана, таким, например, как proxy сервер или каким-нибудь процессом ( при выполнении специфических задач).
При этом генерируются сообщеня с различными уровнями важности, начиная от полезной для контроля функционирования системы информации (например,сообщения о рестарте машины или об установлении сеанса администрирования межсетевого экрана), до информации об ошибках в при выполнении или в настройках.
Чаще всего необходимо просмотреть выборку по определенному множеству событий, а не всю собираемую информацию(например, если Вы хотите просмотреть все вчерашние сообщения). Фильтр событий является одним из механизмов межсетевого экрана Aker, позволяющий описать и просмотреть только необходимое Вам подмножество информации.
Фильтр разрешает только просматривать записанную в файле событий информацию. Для получения более специфической информации необходимо сначала настроить систему для ее сбора, а затем использовать фильтр для ее просмотра.
Для доступа к окну просмотра событий нужно выполнить следующие действия:
Окно фильтрации событий
При выборе опции События автоматически высвечивается окно Фильтрация событий . Это окно позволяет выбрать используемый для просмотра фильтр. Оно имеет следующий формат:
В верхней части окна расположены кнопки Сохранить и Удалить. Кнопка Сохранить позволяет сохранить поля фильтра в нужном порядке для дальнейшего использования и кнопка Удалить позволяет удалить сохраненные ранее фильтры.
Для сохранения фильтра статистики необходимо:
Для использования сохраненного фильтра необходимо выбрать его имя в поле Фильтры и все поля будут автоматически заполнены сохраненными данными.
Для удаления фильтра необходимо:
По умолчанию фильтр настроен для показа сообщений текущего дня. Чтобы увидеть сообщения за другие дни, необходимо настроить поля Начальная дата и Конечная дата, описав с их помощью интересующий Вас диапазон (он будет содержать сообщения от начальной до конечной даты включительно).
Кроме этих полей, существуют и другие опции, которые можно применять в разных комбинациях, чтобы еще больше ограничить круг выводимой для просмотра информации:
Различные типы сообщений имеют различные приоритеты. Высший приоритет присваивается ниболее важным из них. В приведенном ниже списке описываются все возможные приоритеты в порядке убывания их важности. (Если межсетевой экран настроен для посылки копии данных регистрации через syslog, то будут генерироваться сообщения с указанными ниже приоритетами.):
При задании конкретного приоритета на экране будут показаны сообщения только с этим приоритетом.
Модуль:
Эта опция позволяет увидеть сообщения, которые генерируются каким-либо из трех главных модулей системы или любым внешним сервером. При выборе конкретного модуля будут показаны только относящиеся к нему сообщения.
Кнопка Да накладывает описанный фильтр и открывает окно событий с выборкой соответствующей фильтру информации.
Кнопка Отменить отменяет операцию фильтрации и в полях окна событий появляется предыдущая информация. Кнопка Помощь выводит окно подсказки по данному разделу.
Окно событий открывается после наложения нового фильтра. Оно состоит из списка сообщений. Обычно каждая строка списка соответствует отдельному сообщению, но некоторые сообщения могут занимать две строки. Формат сообщений рассмотрен в следующем разделе.
Важные замечания:
При стирании содержимого файла событий воостановить его можно только с резервной копии.
Если нажать эту кнопку, откроется следующее окно:
Для экспортирования сообщений о событиях, введите имя создаваемого файла и нажмите кнопку Сохранить, для отмены операции нажмите кнопку Отменить.Если существует файл с таким же именем, он будет переписан.
Ниже описан формат сообщений и приводится описание их полей. Полный список всех возможных сообщений и их значений содержится в Приложении А
Формат записи:
<Date> <Time> <Message> [(Complement)]
[<Additional Data>]
Описание полей:
Date: Дата генерации записи.
Time: Время генерации записи.
Message: Текстовое сообщения, описывающее событие
(Complement): Это поле вносит некоторую дополнительную информацию и может присутствовать или нет, что зависит от характера сообщения. Если оно присутствует, то указывается в скобках.
Additional data: Информация в этом поле связана с сообщениями от proxy серверов. Она всегда появляются в строке под соответствующим сообщением. Она содержит адрес источника соединения и, в случае прозрачного proxy сервера, адрес назначения.
Примеры:
02/26/1998 13:27:11 Aker Firewall v3.01 - Initialization complete 02/26/1998 13:30:32 Telnet session established (user) Source: 10.2.1.12 - Destination: 192.168.0.3 02/26/1998 12:48:23 Administrative session confirmation error (administrator) 02/26/1998 12:48:23 Administrative connection request (10.4.1.14)
Интерфейс командной строки для просмотра событий обладает теми же возможностями, что и графический интерфейс. Доступны все его функции за исключением опции фильтрации для модуля; кроме того, интерфейс командной строки не показывает дополнительную информацию, которую выводит на дисплей графический интерфейс при выделении сообщения о событии.
Интерфейс командной строки для просмотра событий - это та же программа, что используется для просмотра статистики. Она рассмотрена в предыдущей главе.
Синтаксис:
fwlog help fwlog [compact | clear] [log | events] fwlog show [log | events] <begin_date> <end_date> [priority]
Aker Firewall - Version 3.01 fwlog - интерфейс командной строки для просмотра статистики и событий Использование: fwlog help fwlog [compact | clear] [log | events] fwlog show [log | events] <begin_date> <end_date> [priority] show = показывает содержимое файла статистики или событий clear = очищает файлы статистики им событий от записей compact = уплотняет файл статистики или событий help = показывает данное сообщение Для команд compact / clear / show : log = действие выполняется с файлом статистики events = действие выполняется с файлом событий Для команды show: begin_date = дата, начиная с которой будут показаны записи end_date = дата, по которую будут показаны записи (даты должны иметь формат mm/dd/yyyy) priority = необязательный аргумент. Если он задан, он может принимать следующие значения: ERROR, WARNING, NOTICE, INFORMATION или DEBUG. (Если приоритет задан, будут показаны записи только с этим приоритетом)
#fwlog show events 03/07/1998 03/08/1998 03/08/1998 11:39:35 Administrative session closed 03/08/1998 09:13:09 Administrative session established (administrator, CF CL MU) 03/08/1998 09:13:09 Administrative session request (10.4.1.14) 03/08/1998 09:09:49 Operation on the log file (Compact) 03/07/1998 10:27:11 Aker Firewall v3.01 - Initialization complete 03/07/1998 08:57:11 UDP translation table full
#fwlog show events 03/07/1998 03/08/1998 debug 03/08/1998 09:09:49 Operation on the log file (Compact) 03/07/1998 10:27:11 Aker Firewall v3.01 - Initialization complete
#fwlog clear events