群晖如何查看NAS访问日志？

Question

如何在群晖NAS中查看详细的用户访问日志，以排查异常登录或文件访问行为？ 许多用户在使用Synology NAS时，希望审计谁在何时访问了哪些共享文件夹或服务（如SMB、FTP、Web Station等）。尽管群晖提供了“控制面板 > 日志中心”功能，但默认设置下可能未启用详细的操作日志记录。常见问题包括：如何开启文件服务访问日志？日志中如何识别具体用户的读写操作？以及如何通过日志过滤特定IP或时间段的访问行为？此外，部分用户反映在日志中心看不到具体的文件路径访问记录，这通常与日志级别设置或套件日志未启用有关。掌握正确的日志配置与查询方法，对安全审计和故障排查至关重要。

Answer 1

1. 群晖NAS日志系统基础架构概述

群晖（Synology）NAS设备内置了基于Linux系统的日志服务，其核心组件包括Syslog、Log Center套件以及各应用模块独立的日志记录机制。默认情况下，“控制面板 > 日志中心”仅启用系统级事件日志（如登录尝试、系统重启），而文件服务访问行为（如SMB读写操作）需额外开启详细日志级别。

日志数据通常存储于/var/log/目录下，主要包含：

• messages：通用系统日志
• smbd.log：SMB服务访问日志
• ftpd.log：FTP服务日志
• synolog.log：由Log Center统一收集的结构化日志

2. 启用详细的文件服务访问日志

要捕获用户对共享文件夹的具体操作，必须在对应服务中启用高级日志记录：

1. SMB/CIFS服务：进入“控制面板 > 文件服务 > SMB” → 勾选“启用SMB日志” → 设置日志等级为“详细”或“调试”
2. FTP服务：在“控制面板 > FTP”中启用“记录FTP活动”，并选择“完整日志”模式
3. Web Station：若启用了Apache/Nginx，需手动修改配置文件以开启access_log与error_log路径

注意：高日志级别将显著增加磁盘I/O和存储占用，建议结合日志轮转策略使用。

3. 配置日志中心以实现集中审计

配置项	推荐设置	说明
日志保留周期	90天	满足基本合规要求
日志级别	信息级或以上	确保记录操作事件
远程日志服务器	启用（可选）	用于集中安全分析
套件日志监控	启用File Station, SMB等	获取细粒度操作记录
自动告警规则	失败登录≥5次	实时响应暴力破解
日志格式	JSON（便于ELK导入）	支持后续大数据分析
索引优化	按时间分区	提升查询性能
加密日志传输	TLS 1.2+	保障日志完整性
审计范围	所有共享文件夹	避免盲区
日志签名	启用（DSM 7+）	防篡改验证

4. 查询与分析用户访问行为的方法

通过“日志中心”界面可执行多维度过滤：

# 示例：查找特定IP在某时间段内的SMB写入操作
筛选条件：
- 服务类型：SMB
- 来源IP：192.168.1.100
- 时间范围：2024-04-01 00:00 至 2024-04-02 23:59
- 关键词：WRITE, CREATE, DELETE
- 用户名：john_doe

若需更复杂分析，可通过SSH导出原始日志进行CLI处理：

grep "smbd" /var/log/messages | grep "write:" | awk '{print $1,$2,$3,$9}'

5. 使用Mermaid流程图展示异常访问检测逻辑

graph TD A[开始] --> B{是否启用详细日志?} B -- 否 --> C[配置SMB/FTP日志级别] B -- 是 --> D[加载日志中心数据] C --> D D --> E[设定时间窗口] E --> F[按IP/用户/操作类型过滤] F --> G{发现高频失败登录?} G -- 是 --> H[触发账户锁定或邮件告警] G -- No --> I{存在非常规时间访问?} I -- Yes --> J[标记为可疑行为] I -- No --> K{检测到大规模文件删除/下载?} K -- Yes --> L[生成审计报告并通知管理员] K -- No --> M[完成本轮扫描]

6. 高级排查技巧与实战案例

当标准界面无法显示具体文件路径时，应检查以下几点：

• 确认是否安装最新版Log Center套件（v3.2+）
• 查看/etc/samba/smb.conf中是否包含：
  log level = 2 和 acl: log = yes
• 使用命令行工具testparm -v验证Samba配置有效性
• 通过synogear list查看正在运行的服务及其日志状态
• 利用journalctl -u smbd获取systemd级别的实时日志流

对于跨域环境，还需同步Windows AD日志进行关联分析，构建完整的身份访问轨迹。