Configure a auditoria do ownCloud Enterprise e verifique os registros.

Para registrar as ações de usuários e administradores no ownCloud Enterprise, instale e habilite o aplicativo de Auditoria exclusivo para Enterprise e, em seguida, direcione as admin_auditmensagens de log para um arquivo que os administradores possam proteger e revisar. Habilitar o aplicativo é necessário, mas não suficiente por si só: o nível de log do servidor ownCloud deve ser definido como 1 (Info) ou 0 (Debug), a menos que uma condição de log separada direcione as mensagens de auditoria para um arquivo próprio.

Saiba qual “registro de atividades” você precisa.

O aplicativo Atividade e o aplicativo Auditoria têm finalidades diferentes. Atividade é o fluxo de eventos de arquivos e colaboração visível ao usuário. O aplicativo Auditoria Corporativa registra ações selecionadas de usuários e administradores como entradas de log estruturadas, destinadas à revisão e análise operacional. Instalar ou configurar apenas o Atividade não habilita o registro de auditoria corporativa. Se o seu objetivo é um registro rastreável de logins, operações de arquivos, alterações de compartilhamento, administração de usuários, alterações de aplicativos ou comandos OCC, habilite a Auditoria. A documentação atual de Auditoria do ownCloud Server 11 lista essas categorias de eventos.

Verificado: o aplicativo é exclusivo da versão Enterprise e está disponível no ownCloud Marketplace. Contexto: a tela de gerenciamento e o método de configuração exatos do aplicativo variam de acordo com a versão e a implantação do ownCloud. Ação: confirme a versão do seu servidor e se sua assinatura Enterprise inclui o aplicativo antes de solucionar problemas relacionados à ausência do aplicativo na lista. A página do recurso de Auditoria do ownCloud também o identifica como uma funcionalidade Enterprise.

Ativar auditoria no ownCloud

1. Confirme se o aplicativo está instalado. Nas configurações do aplicativo ownCloud, localize a opção "Auditoria". No ownCloud 10.16, o guia oficial recomenda baixá-la do Marketplace e ativá-la nas configurações do aplicativo; a documentação do ownCloud 11 indica que a ativação deve ser feita diretamente no Marketplace. Caso a opção não esteja presente, verifique a licença Enterprise, o acesso ao Marketplace e a compatibilidade do aplicativo com a versão do seu servidor antes de instalar um pacote.
2. Habilite o aplicativo. Use as configurações do aplicativo como administrador e confirme se a auditoria está habilitada. Dependendo da implantação e da versão, um administrador de linha de comando também pode inspecionar o estado do aplicativo com o comando `sudo apt-get` occ app:list; use a invocação compatível com a instalação occ. Não presuma que um feed de atividades na interface da web signifique que o aplicativo de auditoria está ativo.
3. Escolha onde os registros de auditoria serão salvos. Para uma verificação rápida, o ownCloud pode gravar os registros de auditoria no arquivo padrão owncloud.log. Para operações contínuas, um arquivo de auditoria restrito separado é mais fácil de encaminhar para um coletor de logs e revisar de forma independente.
4. Defina um nível de log efetivo ou uma rota dedicada. Mantenha o nível de log geral em 1 ou 0 se desejar que os eventos de auditoria sejam registrados no log padrão. Como alternativa, adicione uma condição para o ID do aplicativo admin_auditque grave em um arquivo dedicado. A sintaxe depende se você está usando o ownCloud 11 no Docker ou uma instalação do PHP 10.16.
5. Gere um evento de teste inofensivo e verifique-o. Faça login ou crie um arquivo de teste temporário e, em seguida, inspecione o destino de log selecionado em busca de uma nova entrada de auditoria antes de confiar na configuração.

Direcione os registros de auditoria para um arquivo separado.

ownCloud Server 11 em Docker

O guia atual do ownCloud 11 documenta a OWNCLOUD_LOG_CONDITIONSvariável de ambiente. Adicione-a ao ambiente Compose do serviço ownCloud e ajuste o caminho do arquivo para um local persistente disponível no contêiner:

OWNCLOUD_LOG_CONDITIONS=[{"apps":["admin_audit"],"loglevel":0,"logfile":"/mnt/data/files/admin_audit.log"}]

O exemplo usa o caminho de montagem de dados do Docker documentado pelo ownCloud. Mantenha o valor JSON válido ao adicioná-lo ao YAML e use o volume montado persistente da implantação para que a substituição do contêiner não descarte o log. Aplique a alteração do Compose usando seu processo de implantação normal e, em seguida, confirme se o serviço é iniciado e se o arquivo é criado. Os logs de condição separados registram mensagens de auditoria independentemente do nível de log global, de acordo com o guia de auditoria do Server 11 .

Instalação do PHP no servidor ownCloud 10.16

Para a configuração baseada em PHP 10.16 documentada pelo ownCloud, adicione uma log.conditionsentrada ao config.phparquivo ativo e substitua o caminho de exemplo. O usuário do servidor web deve ter permissão de escrita no arquivo de destino e em seu diretório:

'log.conditions' => [
    [
        'apps' => ['admin_audit'],
        'logfile' => '/var/www/owncloud/data/admin_audit.log'
    ]
],

Faça um backup config.phpantes de editar e não crie uma log.conditionschave duplicada se já existir uma. Verifique a sintaxe do PHP e as permissões de arquivo após a alteração. Não copie o array PHP 10.16 para uma variável de ambiente do Docker nem o valor JSON do ambiente do Server 11 para um arquivo de configuração do PHP; são interfaces de implantação diferentes. Consulte as instruções oficiais de auditoria do ownCloud 10.16 .

O que o registro de auditoria comprova — e o que não comprova.

Verificado: os eventos documentados incluem login e logout, operações de criação/exclusão/movimentação de arquivos, alterações de compartilhamento, tags, comentários, administração de usuários e grupos, configurações de usuário, representação de usuário, ativação de aplicativos e execução do OCC. As entradas incluem campos específicos do evento e são estruturadas para análise; o ownCloud descreve registros compatíveis com JSON e integrações como o Splunk. Ação: crie um evento de teste de uma categoria que sua equipe precise auditar e confirme se o usuário, a ação, o horário e o contexto do arquivo esperados aparecem.

Equívoco: habilitar a auditoria cria automaticamente um admin_audit.logarquivo separado. Isso não acontece; o padrão pode ser o log padrão do ownCloud, a menos que você configure um destino diferente. Ação: verifique o caminho e o volume reais do arquivo, em vez de confiar no status de ativação do aplicativo.

Limitação: um registro de eventos não constitui, por si só, um programa de conformidade completo nem garante que todas as ações em uma implementação personalizada sejam registradas. Os eventos disponíveis, a versão do aplicativo, os filtros, o nível de registro e os controles de retenção afetam o que você pode revisar. Ação: compare a cobertura de eventos com sua política, defina os controles de retenção e acesso e encaminhe registros importantes para um sistema de registro centralizado e seguro, caso seus requisitos exijam preservação independente. Esta recomendação final de controle é uma medida de segurança operacional; a documentação do aplicativo ownCloud descreve o registro e a integração de eventos, não uma certificação de que uma configuração específica atende a um requisito legal.

Verificar acesso e cobrança contínua

Após o evento de teste aparecer, confirme se o arquivo de auditoria persiste após a reinicialização do serviço ou a substituição do contêiner, se apenas administradores autorizados e coletores de logs podem lê-lo e se a rotação de logs não impede a gravação pelo aplicativo. Se estiver usando o log padrão, a página de administração do ownCloud oferece uma opção para baixar o arquivo de log. Se estiver configurado para um arquivo separado, a documentação indica que você deve recuperá-lo manualmente. Mantenha o carimbo de data/hora, o ator, a ação e o caminho do evento como verificação de aceitação e revise os logs novamente após atualizações ou alterações na configuração de registro.