ICAP-Zugriffs-Logs
Das Zugriffs-Log erfasst alle Anfragen, die der Remote-Scan-Dienst (icapd) verarbeitet. Das Log befindet sich standardmäßig unter dem folgenden Pfad:
/var/log/eset/efs/icap/access.txt
Das Zugriffs-Log erfasst die ICAP-Anfragen, die der Remote-Scan-Dienst (icapd) verarbeitet hat, inklusive der gescannten Objekte und der daraus resultierenden Aktionen oder Erkennungen. Die Log-Dateien verwenden UTF-8-Encoding mit LF-Zeilenumbrüchen.
Zugriffs-Log aktivieren
Um das ICAP-Zugriffs-Logging zu aktivieren, navigieren Sie in den Anwendungseinstellungen zu Erkennungsroutine > Remote-Scans > ICAP > Zugriffs-Log und aktivieren Sie den Umschalter Zugriffs-Log aktivieren.
Format der Log-Einträge
Die Log-Einträge haben das folgende Format:
time_stamp remote_ip icap_status_code "icap_request_line" http_status_code "http_request_line" bytes_recv bytes_resp "file_hash" "response_info" "response_desc" "threat_type" "threat_desc" |
In der folgenden Tabelle werden die einzelnen Felder beschrieben:
Feld |
Beschreibung |
|---|---|
time_stamp |
Zeitpunkt, an dem das Gerät die Anfrage erhalten hat. |
remote_ip |
IP-Adresse des Clients, der die Anfrage gesendet hat. |
icap_status_code |
Der für die Anfrage zurückgegebene ICAP-Protokoll-Statuscode. |
icap_request_line |
Vollständige ICAP-Anfragezeile. |
http_status_code |
Der mit der Anfrage verbundene HTTP-Statuscode. |
http_request_line |
Vollständige HTTP-Anfragezeile. |
bytes_recv |
Anzahl der empfangenen Bytes. |
bytes_resp |
Anzahl der in der Antwort zurückgegebenen Bytes. |
file_hash |
Hashwert des gescannten Objekts. |
response_info |
Weitere Informationen zur Antwort. |
response_desc |
Beschreibung der Antwort. |
threat_type |
Art der erkannten Bedrohung, falls zutreffend. |
threat_desc |
Beschreibung der erkannten Bedrohung, falls zutreffend. |
Automatische Log-Rotation
Die automatische Log-Rotation ist standardmäßig aktiviert. Das System benennt die aktuelle Log-Datei um, indem es das aktuelle Datum an den Dateipfad anhängt. Beispiel:
/var/log/eset/efs/icap/access.txt.20260727
Wenn die automatische Rotation ausgelöst wird, führt das System die folgenden Aktionen durch:
•Das aktive Aktivitäts-Log wird um Mitternacht geschlossen.
•Das System legt automatisch eine neue access.txt-Datei.
•Das System löscht alte Log-Dateien gemäß der konfigurierten Aufbewahrungsfrist (Standard: 30 Tage).
|
Verwenden Sie die automatische und die manuelle Log-Rotation nicht gleichzeitig. Verwenden Sie nur eine Rotationsmethode. |
Manuelle Log-Rotation
Um eine manuelle Log-Rotation auszulösen, benennen Sie die aktuelle Log-Datei um und senden Sie dann das Signal SIGUSR2 an den icapd-Prozess.
1.Benennen Sie die Datei um, um sicherzustellen, dass das System eine neue Log-Datei erstellt, wenn der Prozess das Signal empfängt.
mv /var/log/eset/efs/icap/access.txt /var/log/eset/efs/icap/access.txt.old
2.Um sicherzustellen, dass pkill nur auf den richtigen Prozesseigentümer angewendet wird, beschränken Sie die Suche auf Prozesse des Benutzers eset-efs-icapd.
pkill -USR2 -U eset-efs-icapd icapd
Manuelle Log-Rotation automatisieren
Um die manuelle Log-Rotation nach einem wiederkehrenden Zeitplan zu automatisieren, erstellen Sie eine logrotate-Konfigurationsdatei im folgenden Pfad: /etc/logrotate.d/eset-efs-icap-access. Das Skript verwendet den killall-Befehl, um das oben gezeigte Signal zu senden.
Beispiel für eine Konfigurationsdatei:
/var/log/eset/efs/icap/access.txt { |
In der Konfigurationsdatei können Sie die folgenden Parameter ändern:
•weekly: Rotationshäufigkeit.
•rotate 8: Anzahl der rotierten Dateien, die im System aufbewahrt werden.
Um die Konfigurationsdatei zu überprüfen, ohne die geplante Rotation abzuwarten, führen Sie den folgenden Befehl aus. Die Markierung -v fordert eine ausführliche Ausgabe an, und die Markierung -f erzwingt die Rotation unabhängig vom Zeitplan.
sudo logrotate -vf /etc/logrotate.d/eset-efs-icap-access