Регистрация действий пользователей подсистем

 

В подсистемах УБР, ТУ, ТЦОИ, ОИТУ КЦОИ РАБИС-НП регистрация действий пользователей выполняется специальным сервисом регистрации, функционирующим на сервере подсистемы. Прикладные процессы, обрабатывая события, подлежащие регистрации, вызывают функцию регистрации, передавая ей необходимые атрибуты. Функция регистрации обращается к сервису регистрации, который осуществляет буферизацию поступающих к нему обращений и их запись в файл оперативного регистрационного журнала.

Сервис регистрации обеспечивает:

– информирование прикладных процессов о работоспособности сервиса регистрации;

– уникальную идентификацию файлов регистрационных журналов;

– запись регистрационных сообщений в файл оперативного регистрационного журнала с формированием защитных контрольных сумм;

– очистку оперативного журнала с переносом его данных в архивный журнал по команде администратора ИБ, или по наступлению предварительно сконфигурированных событий (по смене дат или по достижению оперативным журналом определенного размера).

Имя файла оперативного регистрационного журнала фиксированное: «syslog.tk». Имена файлов архивных журналов строятся следующим образом

 

DDMMYYYY_hh-mm_BBBBB_EEEEE.tk,

 

где:

– DDMMYYYY – календарная дата первой записи журнала;

– hh-mm – время в часах и минутах первой записи журнала;

– BBBBB – контрольная сумма первой записи журнала;

– EEEEE – контрольная сумма последней записи журнала.

В состав каждой регистрационной записи включаются:

– дата (число, месяц, год);

– время;

– имя вычислительной установки (HostName);

– уровень приоритета события (2 – «критическое», 4 – «важное», 6 – «информационное»);

– имя пользователя в операционной системе (UserName);

– номер пользователя по таблице пользователей подсистемы;

– идентификатор задачи, выполнившей регистрацию события;

– идентификатор класса события;

– идентификатор (код) события;

– текстовая строка с параметрами сообщения;

– значение контрольной суммы (CRC), вычисленное от значения контрольной суммы предыдущей записи и содержимого текущей записи (без учета поля самой CRC).

Последнее поле регистрационной записи используется для контроля целостности и непрерывности регистрационного журнала. Для первого регистрационного журнала (запуск сервиса регистрации в условиях отсутствия в каталоге файла syslog.tk) контрольная сумма «нулевой» записи принимается равной нулю. При закрытии текущего журнала и открытии нового, последнюю регистрационную запись (которой будет запись об открытии нового файла регистрационного журнала) – сформирует сам сервис регистрации. Эта же запись дублируется (с той же контрольной суммой) в качестве первой записи вновь открываемого оперативного журнала.

Необходимым условием работы прикладных средств регистрации являются функционирование процесса «сервис регистрации». Этот процесс организуется программой task808.ovl, запускаемой в режиме сервиса операционной системы с правами специального пользователя «mservice». Файлы регистрационного журнала ведутся в специально выделяемом каталоге %pathxpress%\syslog\ (путь к нему указывается при конфигурировании сервиса).

Наличие и работоспособность сервиса регистрации проверяется программным обеспечением ПК РКЦ РАБИС-НП при запуске АРМ и отдельных программ. Запуск АРМ и программ блокируется при отсутствии или неработоспособности этого процесса с выдачей соответствующего сообщения. Для корректного обращения процессов АРМ к сервису регистрации, на каждой рабочей станции должна быть определена переменная окружения SERVICES_FILE, указывающая полный путь к файлу, в котором в секции REGSERVER описывается имя серверной установки и номер порта, на которых функционирует сервис регистрации подсистемы.

Отдельная функция проверки работоспособности сервиса регистрации включена в состав АРМ администратора информационной безопасности.

Работа с регистрационным журналом осуществляется на АРМ администратора информационной безопасности подсистемы.

В процессе загрузки файла регистрационного журнала на просмотр выполняется контроль его целостности по контрольным суммам записей. Результат контроля целостности регистрационного журнала выводится на экран («Регистрационный журнал целостен!», или «Целостность регистрационного журнала нарушена, начиная с записи №ХХХ»).

При просмотре регистрационного журнала предусмотрена возможность фильтрации регистрационных записей по интервалам дат и времени, приоритетам событий, пользователям, задачам, событиям, а также формирование необходимых отчетов и справок.

В качестве сервисных функций администратора информационной безопасности при работе с регистрационными журналами предусмотрены:

– проверка работоспособности сервера регистрации;

– очистка оперативного регистрационного журнала с переносом его данных в файл архивного регистрационного журнала;

– загрузка на просмотр файла архивного регистрационного журнала.

– контроль целостности регистрационного журнала.

Наряду с ведением прикладного регистрационного журнала, сервис регистрации может выполнять параллельную запись прикладных событий РАБИС-НП в журнал ApplicationLog операционной системы сервера подсистемы (передается текстовая строка в формате регистрационной записи РАБИС-НП, но без контрольной суммы). Необходимость и степень детальности регистрации в системном журнале операционной системы конфигурируются при настройке сервиса регистрации.