Directadmin logging (Deleten van accounts)

[poepje]

Aan het einde van de ochtend ontving ik een mail van een klant welke melde dat een user account binnen DirectAdmin volledig was verwijderd. Bij nazoeking bleek dat inderdaad het geval.

Niemand (behalve ik) heeft admin/root toegang en is in staat om users te verwijderen. (De server is volledig up2date en DA+software (apache, php etc) zijn vorige week nog volledig geupdate.)

Het verwijderde profiel (incl. domeinnaam) hangt onder een user. De klant in kwestie heeft een reseller account en is zelf in staat om accounts aan te maken en/of te verwijderen.

Natuurlijk heb ik een backup van gisteravond terug gezet, maar ben wel erg benieuwd naar wat er nu gebeurd is, in /var/log/directadmin kan ik geen referentie vinden naar het verwijderen van het account.

Is er ergens een logging aanwezig welke de user en/of het IP afgeeft van de user die de delete actie heeft getriggered?

[t.bloo]

Zover ik weet is er dat niet. Wat nog wel eens gebeurt, is dat iemand iets aanklikt en dan toch niet daarvoor kiest en dan later met de browser back ofzo toch iets verkeerds doet. Je kunt dat zien aan rare POST logregels.

[golden]

Ondanks dat best jammer/bizar dat dat soort extreme acties niet gelogd worden. Wellicht een slimme feature voor de toekomst om een soort actielog bij te houden? Tuurlijk kan je veel vinden in je logfiles. Echter lijkt me dat geen gewenste oplossing als een klant belt met een vraag over wie/wat/waarom.

[poepje]

Ondanks dat best jammer/bizar dat dat soort extreme acties niet gelogd worden. Wellicht een slimme feature voor de toekomst om een soort actielog bij te houden? Tuurlijk kan je veel vinden in je logfiles. Echter lijkt me dat geen gewenste oplossing als een klant belt met een vraag over wie/wat/waarom.

Het rare is, ik maak net een reseller aan, en dat kom ik dan wel weer tegen in de DA logfiles
system.log:2013:09:25-21:50:54: Reseller Kraal is being created by admin.


Over het andere (de geen gewenste oplossing) ....

Simpelweg zijn er 3 opties:
A- Het systeem/password (root op de server zelf of het admin account in directadmin) is compromised
B- Het wachtwoord van de reseller is in handen van 3de
C- Het is een user error (van de admin (ik) of het reseller account), waarvan ik admin kan uitsluiten omdat ik simpelweg niet ingelogt ben geweest in de gegeven periode
D- system error, rare hik van het systeem, maar dat lijkt mij eerlijk gezegd ongeloofwaardig


Middels logging kan ik in iedergeval zien welke van de 3 opties de meest waarschijnlijke is.
Als ik vervolgens in de logging kan zien dat de reseller met IP (ip van klant hier) een actie heeft uitgevoerd (al dan niet bewust) dan weet ik in iedergeval dat er geen wachtwoorden/login's op straat liggen.

Het is ook niet zo zeer bedoeld om met de vinger te wijzen maar om in iedergeval de oorzaak te vinden.

[t.bloo]

Je kunt custom scripts maken die meer loggen: user_create_post.sh, user_destroy_post.sh, user_modify_post.sh

(maar daar heb je achteraf niet veel aan natuurlijk)

[Mark17]

Wat je nog kunt bekijken in /var/log/directadmin/jaar-maand-dag.log is welke gebruiker (en vanaf welk IP) een bepaalde pagina heeft opgevraagd. Hierbij wordt de tijd ook aangegeven en mogelijk kun je op basis hiervan nog iets uitsluiten. Als de reseller (vanaf zijn IP) verbonden is geweest en bv de pagina met gebruikers heeft gekeken en hier een POST heeft gedaan dan kan dat een indicatie zijn om maar iets te noemen.