SYSTOOLS.AUDIT_JOURNAL_VP

À quoi ça sert

Cette fonction de table lit les entrées de type VP du journal d'audit, écrites en cas d'échec de mot de passe sur le serveur réseau (partages de fichiers). Elle donne le nom du serveur (SERVER_NAME), l'utilisateur concerné (AUDIT_USER_NAME), le nom de l'ordinateur client (COMPUTER_NAME), ainsi que le nom du partage et sa liste d'autorisation.

On l'utilise pour repérer des postes qui insistent avec un mauvais mot de passe, ce qui peut indiquer un compte verrouillé ou une tentative d'intrusion sur un partage. L'exemple d'IBM compte les échecs par jour et par nom de serveur sur la dernière semaine.

Les paramètres de sélection sont facultatifs et communs à toutes les fonctions d'audit.

Résultat réel sur un IBM i 7.5

Ce que nous avons exécuté :

SELECT DATE(ENTRY_TIMESTAMP) AS "DATE", SERVER_NAME,  
       COUNT(*) AS NETWORK_SERVER_PASSWORD_ERROR_COUNT 
  FROM TABLE (  
      SYSTOOLS.AUDIT_JOURNAL_VP(STARTING_TIMESTAMP => CURRENT TIMESTAMP - 7 DAYS))  
  GROUP BY DATE(ENTRY_TIMESTAMP), SERVER_NAME 
  ORDER BY "DATE", NETWORK_SERVER_PASSWORD_ERROR_COUNT DESC

Aucune entrée de ce type dans le journal d'audit sur les 90 derniers jours : ce type d'événement n'est pas audité ou ne s'est pas produit sur notre IBM i de test.

L'exemple d'IBM

Passer en revue les échecs de mot de passe du serveur réseau, par jour et par nom de serveur.

-- Description: Review the Network Server password failures, by day and by server name. 
  SELECT DATE(ENTRY_TIMESTAMP) AS "DATE", SERVER_NAME,  
       COUNT(*) AS NETWORK_SERVER_PASSWORD_ERROR_COUNT 
  FROM TABLE (  
      SYSTOOLS.AUDIT_JOURNAL_VP(STARTING_TIMESTAMP => CURRENT TIMESTAMP - 7 DAYS))  
  GROUP BY DATE(ENTRY_TIMESTAMP), SERVER_NAME 
  ORDER BY "DATE", NETWORK_SERVER_PASSWORD_ERROR_COUNT DESC;

Paramètres

Colonnes renvoyées (29)