raport aktywności

Raport aktywności to zestawienie działań podjętych w systemie w danym okresie.

Z czego składa się zestawienie zdarzeń w systemie

Raport aktywności powstaje z surowych wpisów dziennika, w których każde zdarzenie ma znacznik czasu, źródło, identyfikator i zestaw parametrów. W Windowsie tym magazynem jest Dziennik zdarzeń dostępny przez eventvwr.msc, gdzie logowania widnieją pod identyfikatorem 4624, nieudane próby pod 4625, a wylogowania pod 4634. Zbieranie tych zdarzeń trzeba najpierw włączyć w zasadach inspekcji, bo domyślnie część kategorii jest wyłączona. W SQL Serverze odpowiednikiem jest mechanizm SQL Server Audit zapisujący ślad do pliku lub do dziennika systemowego, a w usługach chmurowych — dziennik czynności z własnym okresem przechowywania.

Sam zapis to jednak jeszcze nie raport. Wartość pojawia się dopiero po agregacji: ile operacji danego typu, w jakich godzinach, z jakich adresów i czy rozkład odbiega od typowego dnia.

Dziennik techniczny kontra raport dla zarządu

Te dwa dokumenty mają inny odbiorcę i inną szczegółowość. Dziennik techniczny musi zawierać identyfikatory zdarzeń i adresy źródłowe, bo służy do odtworzenia przebiegu incydentu co do minuty. Raport przekazywany kierownictwu operuje wskaźnikami: liczbą nieudanych logowań w tygodniu, liczbą operacji poza godzinami pracy, listą kont bez aktywności od trzech miesięcy. Pierwszy odpowiada na pytanie co się stało, drugi na pytanie czy coś wymaga decyzji. Mieszanie ich kończy się dokumentem, którego nikt nie czyta.

Istotny szczegół techniczny to strefa czasowa i zegar. Zdarzenia zbierane z kilku maszyn bez synchronizacji czasu układają się w nieprawdziwą kolejność, więc usługa czasu i wspólne źródło NTP są warunkiem sensownej analizy.

Dlaczego zestawienie bywa niepełne albo mylące

Domyślny rozmiar dziennika zabezpieczeń jest niewielki, a polityka nadpisywania kasuje najstarsze wpisy — na obciążonym serwerze historia potrafi obejmować kilkanaście godzin, nie miesiąc. Drugi problem to zdarzenia generowane przez konta usług i zadania harmonogramu, które w zestawieniu wyglądają jak aktywność człowieka i sztucznie zawyżają statystyki. Trzeci to logowania przez pulpit zdalny, gdzie w polu adresu źródłowego pojawia się adres bramy, a nie faktycznego komputera. Zdarza się również, że raport pokazuje spadek aktywności, choć w rzeczywistości padła usługa zbierająca dane — dlatego warto monitorować sam fakt napływania wpisów.

Analiza dzienników przy nietypowych awariach

Gdy komputer zwalnia o określonej porze, samoczynnie się restartuje albo w firmie ktoś nadpisał dane w systemie sprzedaży, dziennik jest pierwszym miejscem, do którego zaglądamy. Zestawiamy wpisy z kilku maszyn, wiążemy je z harmonogramem zadań i logiem SQL Servera, a przy podejrzeniu problemu sprzętowego porównujemy z komunikatami kontrolera dysku. Diagnozę laptopa wykonujemy bez opłaty już w momencie odbioru sprzętu od klienta.