如何監(jiān)控?cái)?shù)據(jù)被DFU刪除？

wdz315

最近遇到一個(gè)非常郁悶的問題，有一條數(shù)據(jù)在一個(gè)表中不見了，但是，其他關(guān)聯(lián)表中存在。

系統(tǒng)中是沒有物理刪除的語(yǔ)句被執(zhí)行，所以懷疑是不是用戶使用DFU刪除了數(shù)據(jù)，sql的可能性也不存在。但是實(shí)在是找不到log和記錄。

不知道用什么辦法解決。請(qǐng)各位出出主意。

qingzhou

DFU維護(hù)記錄后會(huì)產(chǎn)生SPLF,另外,最好用audit journal來查看.

wdz315

原帖由 qingzhou 于 2008-8-3 10:08 發(fā)表
DFU維護(hù)記錄后會(huì)產(chǎn)生SPLF,另外,最好用audit journal來查看.

audit journal這個(gè)怎么查看？

thursday

看來是遇到不法用戶了，哈哈

thursday

通過啟動(dòng)Auditing Journal來進(jìn)行安全監(jiān)控OS/400對(duì)象或用戶
                                   
對(duì)于安全性要求比較高的AS400用戶，比如：銀行、保險(xiǎn)等金融行業(yè)，可以通過啟動(dòng)Auditing Journal來進(jìn)行安全監(jiān)控，既可以監(jiān)控對(duì)象(Object)的使用情況，也可以監(jiān)控用戶(User Profile)的行為，從而確保OS/400系統(tǒng)的安全性。以下分兩種情況進(jìn)行舉例：
一、利用Audit Journal監(jiān)控對(duì)象(Object)的使用情況
1、首先用具備*AUDIT特權(quán)的用戶登陸OS/400。

2、通過WRKSYSVAL QAUDCTL—>2=Change將默認(rèn)參數(shù)*NONE改為*OBJAUD，系統(tǒng)提示：System value QAUDCTL changed from *NONE to *OBJAUD.


3、假設(shè)我們需要監(jiān)控LIU/EXECTL這個(gè)Object的使用情況，執(zhí)行：CHGOBJAUD OBJ(LIU/EXECTL) OBJTYPE(*FILE) OBJAUD(*ALL)，系統(tǒng)提示：Object auditing value changed for EXECTL in LIU type *FILE. 表示啟動(dòng)監(jiān)控LIU/EXECTL已經(jīng)成功。

4、測(cè)試，比如我們執(zhí)行 RUNQRY *N LIU/EXECTL 查詢LIU/EXECTL數(shù)據(jù)庫(kù)內(nèi)容；或者通過DFU刪除、修改了LIU/EXECTL的記錄。

5、執(zhí)行：DSPJRN JRN(QSYS/QAUDJRN)，就可以了解在監(jiān)控時(shí)間內(nèi)和監(jiān)控對(duì)象有關(guān)的行為。

其中：
AD - Change auditing attribute 代表修改審記屬性


ZR - Object read access 代表被監(jiān)控對(duì)象被閱讀


ZC - Object change access  代表被監(jiān)控對(duì)象被修改


6、以ZR日志條目的類型為例，可以通過SQL篩選出該日志條目類型的所有記錄。
執(zhí)行 DSPJRN JRN(QSYS/QAUDJRN) ENTTYP(ZR) OUTPUT(*OUTFILE) OUTFILFMT(*TYPE2) OUTFILE(LIU/AUDZR) ，系統(tǒng)提示：Output file AUDZR created in library LIU.   
                                                         
7、執(zhí)行STRSQL，然后執(zhí)行 select * from liu/audzr，篩選ZR的日志條目類型如下。從而加強(qiáng)了對(duì)敏感數(shù)據(jù)的監(jiān)控情況。


二、利用Audit Journal監(jiān)控用戶(User Profile)的使用情況
1、同樣用具備*AUDIT特權(quán)的用戶登陸AS400，在系統(tǒng)值QAUDCTL中追加*AUDLVL，系統(tǒng)提示： System value QAUDCTL changed from *OBJAUD to *OBJAUD   *AUDLVL.


2、執(zhí)行 CHGUSRAUD USRPRF(LIU) AUDLVL(*CMD *DELETE *SPLFDTA)，啟動(dòng)系統(tǒng)對(duì)用戶：LIU進(jìn)行監(jiān)控，系統(tǒng)提示：Auditing value changed for user profile LIU.


3、退出OS/400，然后再重新登陸，測(cè)試：在OS/400命令行執(zhí)行些CL命令，或刪除個(gè)別對(duì)象。
然后執(zhí)行：DSPJRN JRN(QSYS/QAUDJRN)，就可以了解在監(jiān)控時(shí)間內(nèi)和監(jiān)控用戶有關(guān)的行為。


其中：CD - Command string 代表運(yùn)行CL命令


DO - Delete object 代表刪除動(dòng)作


4、同樣可以通過SQL篩選出“CD”（代表運(yùn)行CL命令）日志條目類型、用戶為L(zhǎng)IU的執(zhí)行情況。
===> DSPJRN JRN(QAUDJRN) RCVRNG(*CURCHAIN) ENTTYP(CD) USRPRF(LIU) OUTPUT(*OUTFILE) OUTFILFMT(*TYPE2) OUTFILE(LIU/AUDCD) ，系統(tǒng)提示：Output file AUDCD created in library LIU.   
  

5、執(zhí)行STRSQL，然后執(zhí)行 select * from liu/audcd，篩選CD的日志條目類型如下。從而加強(qiáng)了對(duì)特定用戶的監(jiān)控情況。

fxf_china

不錯(cuò),頂一下,樓上辛苦了

cdsd

2點(diǎn)。

一、qingzhou資料很詳細(xì)，但還沒寫完整。誰能預(yù)先知道要監(jiān)控什么用戶和什么對(duì)象？一個(gè)輕松的管理員是對(duì)全系統(tǒng)做監(jiān)控。全系統(tǒng)的Audit：（步驟1）在系統(tǒng)值QAUDCTL  中輸入*AUDLVL ；（步驟2）在系統(tǒng)值QAUDLVL中輸入想要Audit的操作類型。
A change to this system value takes effect immediately for all jobs   running on the system.                    

二、如果以前沒有Audit，那么因該檢查是否有journal，如果有jounal也可以查了。

qingzhou

AS400常見是設(shè)置系統(tǒng)值QAUDCTL為如下審計(jì)參數(shù)，以前的帖子只是說明一些用法而已。

1. 
   
2. 
   
3.                               Display System Value                              
   
4.                                                                                 
   
5. System value . . . . . :   QAUDCTL                                             
   
6. Description  . . . . . :   Auditing control                                    
   
7.                                                                                 
   
8.                                                                                 
   
9. Auditing                                                                       
   
10. control                                                                        
    
11. *NOQTEMP                                                                       
    
12. *AUDLVL                                                                        
    
13. *OBJAUD   
    

復(fù)制代碼

當(dāng)然，有時(shí)通過PF關(guān)聯(lián)的journal可以查詢到記錄被刪除，但400有個(gè)比較遺憾的地方就是：無法知道刪除的具體記錄。
這個(gè)比較頭疼。。。

roden

IMAGES(*BOTH)也不能知道具體的記錄?

qingzhou

IMAGES(*BOTH)參數(shù)是為了利用JRN進(jìn)行修改回退,即除了缺省的"After Images"還要包含"Before Images".

[ 本帖最后由 qingzhou 于 2008-12-5 09:48 編輯 ]