Samba: Registro de actividad

By: Javier on 11/04/2014

Por normal general, tarde o temprano, al trabajar sobre unidades de red y ficheros compartidos, la pregunta ¿quién ha borrado el fichero ...? llega al administrador de sistemas. Es en este momento cuando un samba mal configurado o con unas opciones de auditoría malas puede complicarte la vida.

Por suerte, samba nativamente ofrece dicha posibilidad, y únicamente para usarlo hay que emplear el módulo full_audit que viene incluido ya en las últimas versiones de samba. La forma en la que yo lo implementé creo que es la más sencilla y fácil de gestionar, y permite más modularidad. Para ello, comenzamos creando el fichero /etc/samba/audit.conf con el siguiente contenido,

vfs objects         = full_audit
 
full_audit:prefix   = %u|%I|%m|%S
full_audit:success  = mkdir rename unlink rmdir pwrite
full_audit:failure  = none
full_audit:facility = local0
full_audit:priority = INFO

Con el fichero creado, únicamente debemos de incluir este método de auditoría en aquellas carpetas compartidas que deseemos. Para hacerlo, nada más sencillo que en el fichero /etc/samba/samba.conf, añadir la siguiente línea las unidades que deseemos,

[UNIDAD DE RED]
  include   = /etc/samba/audit.conf
  path      = /srv/data
  read only = no
  ...

Tras ello, y antes de reiniciar el servicio, podemos comprobar con testparm que el fichero de configuración es válido. Si todo está correcto, entonces ya podemos reiniciar el servicio.

shell> testparm
shell> service smbd restart
shell> service nmbd restart

Desde este momento, aparecerán líneas en syslog indicando la actividad de los usuarios en el sistema.

shell> tail -f /var/log/syslog
mail|192.168.0.20|304j|user|pwrite|ok|data/file.text
fran|192.168.0.14|71aj|user|pwrite|ok|data/file.text
fran|192.168.0.14|712j|user|pwrite|ok|data/file.text
mail|192.168.0.20|304j|user|pwrite|ok|data/file.text
javier|192.168.0.25|304j|user|pwrite|ok|javier/file.text
javier|192.168.0.25|304j|user|pwrite|ok|javier/file.text
javier|192.168.0.25|304j|user|pwrite|ok|javier/file.text

Espero que os sea de utilidad. En esta salida, buscar un evento, como veis es muy sencillo.

Nota:

Significado de las líneas del fichero de auditoría:

• vfs objects
  
  Indicamos que use el módulo full_audit
• full_audit:success
  
  Especifica las acciones en las cuales realizar la escritura de auditoría.
  • mkdir: Creación de directorios
  • rename: Cambio de nombres
  • unlink: Borrado de ficheros
  • rmdir: Borrado de directorios
  • pwrite: Nuevos ficheros (creados o subidos)
  Aquí puedes encontrar toda la lista de opciones soportadas.
• full_audit:failure
  
  Indica qué acciones se deben de escribir a auditoría en caso de que fallen.
• full_audit:facility
  
  full_audit envía todo a syslog, pero permite configurarlo por si nos interesa separar o poder filtrar dichas acciones. En este caso, hemos optado por poner la facility local0, ya que suele ser de las no usadas en el sistema.
• full_audit:priority
  
  Al igual que nos permite indicar la facility, también se permite indicar la prioridad. Para nosotros INFO.
• full_audit:prefix
  
  Indica cómo queremos escribir la línea de log, para hacerla más legible. A continuación os deja la tabla de las variables soportadas por full_audit.

  Variable	Definition
  Variables de cliente
  %a	Arquitectura del cliente
  %I	Dirección IP del cliente
  %m	Nombre NetBIOS del cliente
  %M	Nombre DNS del cliente
  Variables de usuario
  %u	Nombre de usuario
  %U	Nombre de usuario que el cliente solicita
  %H	Directorio ~ de %u
  %g	Grupo primario de %u
  %G	Grupo primario de %U
  Variables de compartido
  %S	Nombre del compartido
  %P	Directorio del compartido
  %p	Punto de montaje del compartido
  Variables del servidor
  %d	ID del proceso del servidor
  %h	Nombre DNS del servidor
  %L	Nombre NetBIOS del servidor
  %N	Directorio raís del servidor
  %v	Versión de samba
  Miscellaneous variables
  %R	Nivel de protocolo SMB negociado
  %T	Fecha
  var	Valor de una variable de entorno var