SYSTOOLS.AUDIT_JOURNAL_AF

À quoi ça sert

Cette fonction de table lit les entrées de type AF du journal d'audit. Chaque ligne correspond à un accès refusé ou à une violation de sécurité : droit insuffisant sur un objet, un chemin IFS, un port TCP/IP, une API, etc. VIOLATION_TYPE et VIOLATION_TYPE_DETAIL donnent la nature de l'infraction.

C'est l'une des fonctions les plus utiles pour la sécurité : on repère les tentatives d'accès anormales, ou l'application qui plante parce qu'il lui manque un droit. Les colonnes d'objet (OBJECT_LIBRARY, OBJECT_NAME, PATH_NAME) disent ce qui était visé, et REMOTE_ADDRESS d'où venait la demande.

Les paramètres sont facultatifs et communs aux fonctions d'audit : bornes de récepteurs, d'horodatage et de séquence, utilisateur, travail, programme. Ces entrées n'existent que si l'audit des échecs d'autorisation est activé.

Résultat réel sur un IBM i 7.5

Ce que nous avons exécuté :

SELECT * FROM TABLE( 
  SYSTOOLS.AUDIT_JOURNAL_AF( 
    STARTING_TIMESTAMP => CURRENT TIMESTAMP - 1 DAY )) 
  WHERE PATH_NAME IS NOT NULL

Aucune entrée de ce type dans le journal d'audit sur les 90 derniers jours : ce type d'événement n'est pas audité ou ne s'est pas produit sur notre IBM i de test.

L'exemple d'IBM

Trouver les échecs d'autorisation sur des objets du système de fichiers intégré (IFS) au cours des dernières 24 heures.

-- Description: Find any authority failures for Integrated File System (IFS) objects 
     -- in the past 24 hours. 
 SELECT * FROM TABLE( 
  SYSTOOLS.AUDIT_JOURNAL_AF( 
    STARTING_TIMESTAMP => CURRENT TIMESTAMP - 1 DAY )) 
  WHERE PATH_NAME IS NOT NULL;

Paramètres

Colonnes renvoyées (49)