如何配置 ESXi 主机的系统审计和警报功能，以便及时发现异常活动？

Question

Accepted Answer

在ESXi主机审计与告警配置实践中，需分三步操作并解决以下挑战：

审计配置
- 启用SSH后通过vim-cmd hostsvc/advopt/update Audit.Remote.HostAddresses string 'syslog.example.com'配置远程syslog
- 修改/etc/vmware/esx.conf定义审计事件类型（如HostAccountAdded、UserLoginSession等）
- 实际挑战：默认4MB日志循环易覆盖关键记录，需搭配Splunk/ELK实现实时解析
vCenter告警定制
- 创建自定义警报监控：
- Event: UserLogoutSession频率异常（如5次/分钟）
- Metric: syslog.rate突降检测日志断流
- 特权命令执行（通过/etc/ssh/sshd_config捕获非vCenter发起的CLI操作）
- 实际挑战：VMkernel日志与vCenter事件时间差导致误报，需配置NTP强制同步
安全加固联动
- 通过Host Profiles自动部署Lockdown模式，但需预留breakglass账户并设置双人审批流程
- 实施Tanium等终端检测工具捕获内存修改型攻击，与vROps告警集成
- 实际挑战：PCI审计要求6个月日志留存，需设计冷热分层存储方案（ESXi→vRLI→S3 Glacier）

关键经验：必须建立基线配置文件哈希库，通过每日自动对比/etc/vmware目录哈希值发现隐蔽篡改。曾遭遇勒索软件通过CIM接口注入恶意驱动，最终通过定制vSphere API监控拦截。

Answer

配置ESXi审计日志
- 通过vSphere Client登录ESXi主机或vCenter，进入"主机配置"→"高级设置"。
- 修改Config.HostAgent.log.level为info，Vpx.Vpxa.config.log.level为verbose以增强日志记录。
- 使用命令行配置远程syslog：
```
esxcli system syslog config set --loghost='udp://:514'
esxcli system syslog reload
```
启用vCenter警报规则
- 在vCenter中选中ESXi主机，进入"监控"→"警报"→"定义"。
- 创建自定义警报（如："异常登录检测"）：
```
触发器：用户登录失败次数 > 3次/5分钟
动作：发送邮件/SMTP告警
```
- 启用预置警报："主机CPU/内存过载""存储空间不足"等。
配置SNMP监控
- 在ESXi命令行执行：
```
esxcli system snmp set --enable=true --communities=
esxcli system snmp set --targets=/
```
- 在监控平台（如Zabbix）设置ESXI健康状态触发器。
定期审计加固
- 通过PowerCLI导出日志：
```
Get-VMHostSysLog -VMHost  | Export-Csv -Path audit_log.csv
```
- 检查/var/log/auth.log中的异常SSH访问，禁用未用服务（DCUI/SSH可临时启用）。
关键配置验证
- 执行tail -f /var/log/hostd.log实时观测操作日志
- 通过esxcli hardware ipmi sel list检查硬件级告警事件

Answer

配置syslog日志转发：通过vSphere Client登录ESXi主机，进入【管理】→【系统】→【高级设置】，编辑Syslog.global.logHost，填入远程syslog服务器地址（如udp://192.168.1.100:514），确保审计日志集中存储。
启用审计事件记录：在ESXi Shell中执行esxcli system auditrecords set -a -m，开启所有审计事件记录模式，并记录特权操作。
配置vCenter警报：在vCenter中选中ESXi主机，进入【配置】→【警报定义】，创建自定义警报（如检测root登录、配置变更、存储异常等），设置触发器阈值并绑定邮件/SMTP通知。
启用SNMP监控：在ESXi主机【管理】→【系统】→【SNMP】中配置社区字符串和陷阱接收端IP，实时推送硬件及安全事件。
加固日志保护：通过Host Profiles或命令行设置日志文件只读权限，防止篡改，并定期使用esxcli system auditrecords check验证完整性。

Answer

为什么不考虑使用集中式日志管理工具如SIEM解决方案，以聚合和分析来自ESXi及其他设备的日志，实现更全面的异常检测？

Answer

作为IT DevOps，配置ESXi主机的系统审计和警报功能需分以下步骤：

启用Syslog审计：
- 通过vSphere Client或命令行配置ESXi将日志发送至远程syslog服务器（如rsyslog/Splunk），避免本地存储丢失。
- 设置日志保留策略，确保合规性存储。
配置vCenter警报：
- 在vCenter中创建自定义警报，监控关键事件（如用户登录失败、权限变更、VM配置修改）。
- 设置阈值（如5分钟内3次失败登录）并绑定邮件/SNMP通知。
增强审计策略：
- 通过ESXi命令行启用增强审计（如esxcli system audit records set --enabled true），记录详细操作（服务启停、防火墙规则变更）。
- 限制root直接访问，强制使用审计账户。
SIEM整合：
- 将syslog与SIEM工具（如ELK、QRadar）集成，通过规则引擎（如检测异常时间段操作）触发实时告警。
自动化加固：
- 使用PowerCLI/Ansible批量部署配置，确保所有主机策略一致。
- 定期通过脚本验证日志完整性（如校验syslog服务状态）。
权限隔离：
- 遵循最小权限原则，通过vCenter角色限制非管理员审计日志访问权限。

注意：需同步NTP服务保证日志时间戳准确，防火墙开放UDP 514/TCP 1514端口允许日志外传，并定期测试警报触发流程。