Topic: Log samba

[MicSme]

Ciao a tutti e Buon Inizio!
Volevo sapere se si riesce a capire da un qualche log chi puo' avere deletato una cartella o un file sul server.
Grazie come sempre
Michele

[Stefano]

ciao
se NON hai abilitato l'audit (cfr http://wiki.contribs.org/DB_Variables_Configuration#Samba_per_i-bay_settings_.28smbd.29) la vedo dura

se l'hai abilitato, possiamo lavorarci

[MicSme]

Non credo di averlo avuto abilitato cmq ho fatto un test:

db accounts setprop ibay_name Audit disabled
signal-event ibay-modify  ibay_name

dopodiche' ho creato e cancellato un file nell'ibay d cui sopra pero' nel log samba_audit
nn trovo niente?

Cosa sbaglio?

[Stefano]

se lo metti disabled..

guarda in /var/log/messages

[Stefano]

in samba_audit dovresti trovare

Code: [Select]

Jan  4 10:05:25 server smbd[25488]: gianni|192.168.1.172|dati|open|ok|w|Gianni/~WRL1110.tmp
Jan  4 10:05:25 server smbd[25488]: gianni|192.168.1.172|dati|open|ok|r|.
Jan  4 10:05:25 server smbd[25488]: gianni|192.168.1.172|dati|opendir|ok|.
Jan  4 10:05:25 server smbd[25488]: gianni|192.168.1.172|dati|open|ok|r|Gianni
Jan  4 10:05:25 server smbd[25488]: gianni|192.168.1.172|dati|opendir|ok|Gianni
Jan  4 10:05:25 server smbd[25488]: gianni|192.168.1.172|dati|unlink|ok|Gianni/~WRL1110.tmp

se samba_audit è vuoto, prova un

Code: [Select]

grep smbd /var/log/messages | grep unlink


[MicSme]

se lo metti disabled

ho letto sul wiki una cosa del tipo enable = set it to disable ho interpretato male?
e poi

grep smbd /var/log/messages | grep unlink

risulta vuoto cosi come il samba_audit
posto anche il config show di smb:
smb=service
    DeadTime=10080
    KeepVersions=disabled
    LogonScript=/home/e-smith/files/samba/netlogon/logon_script
    OpLocks=enabled
    OsLevel=35
    RecycleBin=disabled
    RoamingProfiles=no
    ServerName=lnxsrvpes
    ServerRole=PDC
    ServerString=SERVER
    ShadowCount=10
    ShadowDir=/home/e-smith/files/.shadow
    UnixCharSet=UTF8
    UseClientDriver=yes
    Workgroup=workgroup
    status=enabled

[Stefano]

non è una impostazione di smb ma per singolo ibay

ergo

Code: [Select]

db accounts show ibayname


[MicSme]

ecco:

 Audit=disabled
    CgiBin=disabled
    Gid=5061
    Group=shared
    Name=cartella comune
    PasswordSet=no
    PublicAccess=none
    Uid=5061
    UserAccess=wr-group-rd-everyone

[Stefano]

è disabled..

quindi

Code: [Select]

db accounts setprop ibayname Audit enabled
signal-event ibay-modify ibayname

da questo momento in poi avrai samba_audit popolato

[MicSme]

Grazie 1000 io poi mi son perso leggendo sul wiki disabled, set it to enabled
e interpretandolo male
Alla prossima!

[Stefano]

no, la pagina wiki era equivoca:

http://bugs.contribs.org/show_bug.cgi?id=9179

ora è sistemata