Kritiska och behörighetskänsliga operationer: destruktiva lagrings- och nätverksändringar, processignaler, åtgärder på tjänstenivå och liknande. Rutinläsningar blir inte brus i spåret.

Kan en administratör sopa igen sina spår?

Spåret förvaras dubbelt: i systemjournalen, som inte kan skrivas om utan manipulation på root-nivå, och i en separat fil. Att tyst redigera historien slutar vara trivialt.

Sparas lösenord eller request-innehåll?

Nej. Hemligheter skrivs aldrig till spåret; poster bär aktör, åtgärd, tid och resultat.

På hosten, i systemjournalen plus en separat fil. Inget skickas till någon extern tjänst.

Använder den Proxmox-konton?

Ja. Atlas speglar Proxmox-användare, -grupper och -roller i stället för att hitta på egna; granskningsposter mappar mot de identiteter som redan hanteras.

Saktar loggningen ner hosten?

Nej. Bara kritiska operationer loggas, inte varje klick; spåret är några rader per riskabel åtgärd.

Vem ändrade vad: ett granskningsspår för hosten

På en delad host är den svåraste frågan efter en incident inte vad som gick sönder; det är vem som ändrade vad innan det gick sönder. Atlas skriver ett granskningsspår för kritiska operationer: aktören, åtgärden, tiden och resultatet, förvarat på hosten på två ställen.

Därför förblir vem gjorde vad oftast obesvarat

Standardverktygen sprider bevisen. PVE:s uppgiftslogg känner till vissa operationer, skalhistoriken andra, och konfigurationsändringar känner ofta inte till någonting. Att rekonstruera en kväll betyder att sy ihop tidsstämplar över alla tre.

Delad root-åtkomst gör det värre. När flera personer kan agera som root slutar åtgärder ha författare; historikfiler kan redigeras av samma makt som gjorde ändringen.

Och de flesta granskningar sker vid sämsta tänkbara tid: efter en incident, under press, medan personen som vet svaret möjligen är personen som orsakade den.

Att rekonstruera en incident för hand

Utan spår ser den vanliga utredningen ut så här:

Läs PVE:s uppgiftslogg kring incidentfönstret och notera vad den såg.

Sök igenom skalhistoriker på hosten och hoppas att ingen använde ett delat konto.

Gå igenom journalctl för samma fönster och försök matcha tidsstämplar.

Diffa aktuella konfigurationer mot senaste backupen för att hitta tysta ändringar.

Fråga i teamchatten vem som rörde hosten den dagen.

Skriv en incidentnotis byggd på förmodligen, och gå vidare.

Vad Atlas skriver ner

Kritiska operationer lämnar ett spår medan de sker, inte ett mysterium efteråt.

Kritiska åtgärder, loggade

Operationer som ändrar eller äventyrar systemet, destruktivt lagrings- och nätverksarbete, processavslut, behörighetskänsliga åtgärder, skrivs till spåret medan de kör.

Aktör, åtgärd, tid, resultat

Varje post besvarar incidentens fyra frågor på en gång: vem som utlöste den, exakt vad som kördes, när, och om det lyckades.

Två kopior, manipulationståligt

Poster går till systemjournalen, som icke-root-användare inte kan skriva om, och till en separat fil. Att sopa igen spåren betyder att besegra båda.

Proxmox-roller, respekterade

Atlas hittar inte på en egen behörighetsvärld. Vem som får göra vad kommer från Proxmox-användare och -roller, så spåret mappar mot riktiga identiteter.

Inga hemligheter i loggen

Lösenord och token skrivs aldrig. Spåret noterar att en åtgärd skedde, inte inloggningsuppgifterna som bar den.

Fynden når fram

Väktaren Watch lyfter kritiska fynd via mail när de sker; spåret läses före incidenten, inte bara efter.

Vanliga frågor

Vad loggas exakt?: Kritiska och behörighetskänsliga operationer: destruktiva lagrings- och nätverksändringar, processignaler, åtgärder på tjänstenivå och liknande. Rutinläsningar blir inte brus i spåret.
Kan en administratör sopa igen sina spår?: Spåret förvaras dubbelt: i systemjournalen, som inte kan skrivas om utan manipulation på root-nivå, och i en separat fil. Att tyst redigera historien slutar vara trivialt.
Sparas lösenord eller request-innehåll?: Nej. Hemligheter skrivs aldrig till spåret; poster bär aktör, åtgärd, tid och resultat.
Var bor loggen?: På hosten, i systemjournalen plus en separat fil. Inget skickas till någon extern tjänst.
Använder den Proxmox-konton?: Ja. Atlas speglar Proxmox-användare, -grupper och -roller i stället för att hitta på egna; granskningsposter mappar mot de identiteter som redan hanteras.
Saktar loggningen ner hosten?: Nej. Bara kritiska operationer loggas, inte varje klick; spåret är några rader per riskabel åtgärd.

Relaterade artiklar

Jag drog in åtkomsten men hen är kvar därinne: en session är inte samma sak som en behörighet Du tog bort behörigheten, du stängde till och med av kontot, och personen kan ändå göra saker. Ingenting är trasigt: att dra in åtkomst och att avsluta en session är två skilda handlingar.
Att sluta arbeta som root: beslutet ingen tvingar fram och det som ger mest Att arbeta som root exploderar inte en dag. Det förstör tyst två saker: vem posten pekar på, och var en felklick tar slut. Lösningen är inte att stänga av root, utan att ta det dagliga arbetet ifrån den.
Granskningsposten: svaret på "vem gjorde det", inte på "vad hände" Övervakning berättar vad som hände, granskningsposten berättar vem som gjorde det. Dess värde visar sig de dagar du aldrig hoppas på, och har du den inte den dagen har den aldrig funnits.