[5.2 Beta 3] Дублирование событий журнала безопасности в системном журнале

[ANartikov15]

 

В KeeneticOS 5.2 появился отдельный Журнал безопасности (NDM Audit Log), в котором подробно фиксируются события авторизации, создания и завершения пользовательских сессий и другие события безопасности.

Однако заметил, что события из журнала безопасности одновременно дублируются в обычном системном журнале.

Например, в журнале безопасности присутствует событие:

event: session-close
real-ts: 2026-11-06T12:13:31.098Z
credential: token
remote-address: 127.0.0.1
subsystem: scgi
via: browser-direct

В системном журнале практически в тот же момент появляется соответствующая запись:

[N] Nov  6 15:13:31 ndm: Core::Security::Authority:
terminated a user session [admin#59(token) from
http://{http/rci}@127.0.0.1:/ agent unknown on unknown via browser-direct].

Аналогично при создании сессии:

Журнал безопасности:

event: session-open
real-ts: 2026-11-06T12:13:46.077Z
credential: token
remote-address: 127.0.0.1
subsystem: scgi
via: browser-direct

Системный журнал:

[N] Nov  6 15:13:46 ndm: Core::Security::Authority:
started a user session [admin#60(token) from
http://{http/rci}@127.0.0.1:/ agent unknown on unknown via browser-direct].

Время в примерах совпадает с учётом разницы часовых поясов: журнал безопасности использует UTC, системный журнал — местное время.

Таким образом, одна и та же информация фактически записывается в два разных журнала.

Само по себе это не вызывает проблем в работе устройства. Однако при активной работе сессий количество таких сообщений может превышать 500 в сутки. В результате системный журнал заметно засоряется повторяющимися событиями, хотя для их подробного просмотра уже предусмотрен отдельный специализированный журнал безопасности.

Вопрос и предложение:

Я понимаю, что события авторизации важны для аудита и безопасности, и не предлагаю отключать их регистрацию. Но какой смысл дублировать их в системном журнале, если для этого уже существует отдельный NDM Audit Log?

Можно ли исключить такое дублирование, оставив подробную регистрацию этих событий в журнале безопасности? Либо предусмотреть настройку, позволяющую управлять выводом подобных событий в системный журнал?

На мой взгляд, это сделало бы системный журнал существенно чище и удобнее для диагностики действительно важных проблем.

[keenet07]

Смотря как на это посмотреть. В основном Системном журнале всё хранится, так как появляется. По нему потом можно посмотреть хронологию всех событий вокруг событий аудита. Если убрать из него эти события, что идут в аудит, будет сложнее ориентироваться. Придется заглядывать в оба журнала, сопоставлять время событий, если потребуется анализ.

В то же время Системный журнал живёт до первой перезагрузки устройства, т.к. хранится только в оперативной памяти. А журнал аудита сохраняется в постоянную память устройства. После перезагрузки все логи за прошедшие дни доступны. 

И вот тут вопрос. Есть ли у него ограничение на максимальный размер? И можно ли вручную почистить журнал аудита?

Изменено 7 часов назад пользователем keenet07