Configurar la auditoría empresarial de ownCloud y verificar los registros.

Para registrar las acciones de usuarios y administradores en ownCloud Enterprise, instale y habilite la aplicación de auditoría exclusiva para Enterprise y, a continuación, dirija sus admin_auditmensajes de registro a un archivo que los administradores puedan proteger y revisar. Habilitar la aplicación es necesario, pero no suficiente: el nivel de registro del servidor de ownCloud debe estar configurado en 1 (Información) o 0 (Depuración), a menos que una condición de registro independiente dirija los mensajes de auditoría a un archivo propio.

Sepa qué “registro de actividad” necesita.

La aplicación Actividad y la aplicación Auditoría tienen funciones diferentes. Actividad es el flujo de eventos de archivos y colaboración visible para el usuario. La aplicación Auditoría empresarial registra acciones seleccionadas de usuarios y administradores como entradas de registro estructuradas destinadas a la revisión y el análisis operativos. Instalar o configurar Actividad por sí sola no habilita el registro de auditoría empresarial. Si su objetivo es un registro rastreable de inicios de sesión, operaciones de archivos, cambios de uso compartido, administración de usuarios, cambios de aplicaciones o comandos OCC, habilite Auditoría. La documentación actual de Auditoría de ownCloud Server 11 enumera estas categorías de eventos.

Verificado: la aplicación es exclusiva para Enterprise y está disponible a través de ownCloud Marketplace. Depende del contexto: la pantalla de administración de la aplicación y el método de configuración varían según la versión y la implementación de ownCloud. Acción: confirme la versión de su servidor y que su suscripción Enterprise incluya la aplicación antes de solucionar el problema de la falta de la aplicación. La página de funciones de auditoría de ownCloud también la identifica como una funcionalidad Enterprise.

Habilitar la auditoría en ownCloud

1. Confirma que la aplicación esté instalada. En la configuración de la aplicación ownCloud, busca Auditoría. En ownCloud 10.16, la guía oficial indica que se debe descargar desde Marketplace y habilitarla en la configuración de la aplicación; la documentación de ownCloud 11 indica que se debe habilitar allí. Si no aparece, verifica la licencia Enterprise, el acceso a Marketplace y la compatibilidad de la aplicación con tu versión de servidor antes de instalar un paquete.
2. Habilite la aplicación. Acceda a la configuración de la aplicación como administrador y confirme que la auditoría esté habilitada. Según la implementación y la versión, un administrador de línea de comandos también puede inspeccionar el estado de la aplicación con occ app:list; utilice la invocación compatible con la instalación occ. No asuma que un feed de actividad en la interfaz web significa que la aplicación de auditoría está activa.
3. Elija dónde se guardarán las entradas de auditoría. Para una verificación rápida, ownCloud puede escribir las entradas de auditoría en el archivo estándar owncloud.log. Para operaciones continuas, es más fácil enviar un archivo de auditoría restringido independiente a un recolector de registros y revisarlo de forma independiente.
4. Establezca un nivel de registro efectivo o una ruta específica. Mantenga el nivel de registro general en 1 o 0 si desea auditar eventos en el registro estándar. Como alternativa, agregue una condición para el ID de la aplicación admin_auditque escriba en un archivo específico. La sintaxis depende de si usa ownCloud 11 en Docker o una instalación de PHP 10.16.
5. Genere un evento de prueba inofensivo y verifíquelo. Inicie sesión o cree un archivo de prueba temporal y, a continuación, inspeccione el destino de registro seleccionado en busca de una nueva entrada de auditoría antes de confiar en la configuración.

Dirija los registros de auditoría a un archivo separado.

ownCloud Server 11 en Docker

La guía actual de ownCloud 11 documenta la OWNCLOUD_LOG_CONDITIONSvariable de entorno. Agréguela al entorno Compose del servicio ownCloud y ajuste la ruta del archivo a una ubicación persistente disponible en el contenedor:

OWNCLOUD_LOG_CONDITIONS=[{"apps":["admin_audit"],"loglevel":0,"logfile":"/mnt/data/files/admin_audit.log"}]

El ejemplo utiliza la ruta de montaje de datos de Docker documentada por ownCloud. Mantenga el valor JSON válido al agregarlo a YAML y utilice el volumen montado persistente de la implementación para que un reemplazo de contenedor no descarte el registro. Aplique el cambio de Compose utilizando su proceso de implementación habitual y luego confirme que el servicio se inicia y se crea el archivo. Los registros de condición separados registran los mensajes de auditoría independientemente del nivel de registro global, según la guía de auditoría de Server 11 .

Instalación de PHP en ownCloud Server 10.16

Para la configuración basada en PHP 10.16 documentada por ownCloud, agregue una log.conditionsentrada al config.phparchivo activo y reemplace la ruta de ejemplo. El usuario del servidor web debe tener permisos de escritura en el archivo de destino y su directorio:

'log.conditions' => [
    [
        'apps' => ['admin_audit'],
        'logfile' => '/var/www/owncloud/data/admin_audit.log'
    ]
],

Realice una copia de seguridad config.phpantes de editar y no cree una log.conditionsclave duplicada si ya existe una. Verifique la sintaxis de PHP y los permisos de archivo después del cambio. No copie el array de PHP 10.16 en una variable de entorno de Docker ni el valor de entorno JSON de Server 11 en un archivo de configuración de PHP; son interfaces de implementación diferentes. Consulte las instrucciones oficiales de auditoría de ownCloud 10.16 .

Lo que demuestra (y lo que no demuestra) el registro de auditoría.

Verificado: los eventos documentados incluyen inicio y cierre de sesión, creación, eliminación y movimiento de archivos, cambios de uso compartido, etiquetas, comentarios, administración de usuarios y grupos, configuración de usuarios, suplantación de identidad, activación de aplicaciones y ejecución de OCC. Las entradas incluyen campos específicos del evento y están estructuradas para su análisis; ownCloud describe registros compatibles con JSON e integraciones como Splunk. Acción: cree un evento de prueba de una categoría que su equipo necesite auditar y confirme que aparecen el usuario, la acción, la hora y el contexto del archivo esperados.

Malentendido: se cree erróneamente que al habilitar la auditoría se crea automáticamente un archivo aparte admin_audit.log. Esto no es cierto; por defecto, puede que se utilice el registro estándar de ownCloud a menos que configure una ubicación diferente. Acción: verifique la ruta y el volumen del archivo en lugar de confiar en el estado de habilitación de la aplicación.

Limitación: un registro de eventos no constituye, por sí solo, un programa de cumplimiento completo ni garantiza que se registren todas las acciones en una implementación personalizada. Los eventos disponibles, la versión de la aplicación, los filtros, el nivel de registro y los controles de retención influyen en lo que se puede revisar. Acción: compare la cobertura de eventos con su política, defina los controles de retención y acceso, y envíe los registros importantes a un sistema de registro centralizado con la seguridad adecuada si sus requisitos exigen la conservación independiente. Esta recomendación de control final es una medida de seguridad operativa; la documentación de la aplicación ownCloud describe el registro de eventos y la integración, no una certificación de que una configuración específica cumpla con un requisito legal.

Verificar el acceso y la recopilación continua

Tras la aparición del evento de prueba, confirme que el archivo de auditoría se conserva tras un reinicio del servicio o la sustitución del contenedor, que solo los administradores y recolectores de registros autorizados pueden leerlo y que la rotación de registros no afecta a la capacidad de escritura de la aplicación. Si utiliza el registro estándar, la página de administración de ownCloud ofrece la opción «Descargar archivo de registro». Si está configurado para un archivo independiente, la documentación indica que debe recuperarlo manualmente. Conserve la marca de tiempo del evento, el actor, la acción y la ruta como comprobación de aceptación y revise los registros de nuevo tras las actualizaciones o los cambios en la configuración de registro.