群晖如何查看文件操作日志记录？

Question

如何在群晖NAS中查看文件的详细操作日志（如谁在何时创建、修改或删除了文件）？默认情况下，DSM系统是否记录这些操作？若要审计特定共享文件夹的访问与编辑行为，需开启哪些服务（如“登录帐户”或“Storage Analyzer”）？启用后日志保存位置在哪里，能否按文件路径或用户进行筛选查询？是否存在命令行方式通过SSH获取更详细的日志记录？

Answer 1

一、群晖NAS文件操作日志的审计机制概述

在企业级数据管理中，对共享文件的访问与修改行为进行审计是合规性与安全监控的重要环节。Synology DSM（DiskStation Manager）系统默认并不开启详细的文件级操作日志记录（如创建、修改、删除等），仅保留基础的系统事件日志和用户登录记录。这意味着，若未主动配置相关服务，无法直接追溯“谁在何时对哪个文件进行了何种操作”。

要实现完整的文件操作审计，需启用特定功能模块，并理解其底层技术架构。以下从基础到深入逐步展开分析。

1.1 默认日志行为：DSM是否记录文件操作？

• DSM默认记录系统级事件，例如用户登录、服务启停、系统更新等，路径为【控制面板】→【日志中心】。
• 文件系统级别的读写、创建、删除等操作默认不记录，尤其不包含具体文件路径或操作类型。
• 这意味着，若某用户误删了/volume1/project/report.docx，在未开启审计的情况下，该行为将无法通过标准日志追溯。

二、启用文件操作审计的关键服务

要实现细粒度的文件访问审计，必须启用以下两个核心组件：

服务名称	功能描述	是否默认启用	配置路径
登录帐户（Audit Policy）	定义哪些用户/组的操作需被记录，支持精细权限策略	否	控制面板 → 安全性 → 登录帐户 → 启用“记录文件访问”
Storage Analyzer	可视化分析存储使用情况，可集成审计日志进行趋势分析	需手动安装	套件中心 → 安装Storage Analyzer
Audit Viewer（日志中心扩展）	查看由auditd生成的详细文件操作日志	依赖auditd内核模块	日志中心 → 审计日志

2.1 配置步骤详解

1. 进入【控制面板】→【安全性】→【登录帐户】。
2. 切换至“高级”选项卡，勾选“启用文件访问记录”。
3. 点击“编辑”按钮，选择需审计的共享文件夹（如projects、finance）。
4. 指定用户或群组，并设置监控事件类型：创建、修改、删除、重命名等。
5. 保存后，系统将加载Linux内核的auditd子系统进行底层文件操作捕获。

三、审计日志的存储位置与查询方式

启用审计后，日志由auditd守护进程写入本地文件系统，同时可通过DSM界面进行结构化查询。

3.1 日志物理存储路径

/var/log/audit/audit.log
/var/log/synolog/

其中audit.log为原始日志，采用标准Linux审计格式，每条记录包含时间戳、用户UID、操作类型（SYSCALL）、文件路径（PATH）等字段。

3.2 图形化查询：按用户与路径筛选

在【日志中心】→【审计日志】中，支持多维度过滤：

• 时间范围：精确到秒级检索
• 用户名：输入特定账户（如alice、admin）
• 文件路径：支持模糊匹配，如/volume1/shared/contracts/*
• 操作类型：筛选“文件删除”、“内容修改”等事件

四、命令行方式获取更详细的日志记录

对于资深IT管理员，SSH访问结合命令行工具可提取比GUI更详尽的信息。

4.1 SSH连接并查看原始审计日志

# 登录NAS后执行
sudo cat /var/log/audit/audit.log | grep "comm=\"openat\""
# 或过滤特定文件路径
sudo ausearch -f /volume1/projects/budget.xlsx

4.2 使用ausearch与aureport进行深度分析

aureport可生成统计报表：

# 生成文件操作汇总报告
sudo aureport -f --summary

# 查找所有删除操作
sudo ausearch -sc unlink -ua alice

4.3 自定义日志解析脚本示例

#!/bin/bash
# 提取最近1小时内的文件修改记录
LOG_PATH="/var/log/audit/audit.log"
AUSEARCH_CMD="ausearch -m SYSCALL -F arch=b64 -f /volume1/important/ -k file_audit"

eval $AUSEARCH_CMD | \
awk '/cwd/ && /name=/ { 
    for(i=1;i<NF;i++) { 
        if($i ~ /^name=/) print "User: " $(i+1), "File: " $i 
    }
}'

五、审计系统的架构流程图

graph TD
    A[用户操作文件] --> B{是否启用审计策略?}
    B -- 否 --> C[无日志记录]
    B -- 是 --> D[触发auditd内核模块]
    D --> E[生成原始审计日志 /var/log/audit/audit.log]
    E --> F[日志中心服务解析]
    F --> G[存入数据库供GUI查询]
    G --> H[管理员通过Web界面筛选]
    E --> I[通过SSH+aureport深度分析]
    I --> J[输出定制化审计报告]
  

六、性能与存储考量

启用全面文件审计会对系统资源产生一定影响：

• I/O负载增加：频繁的小文件操作会显著提升日志写入频率。
• 磁盘空间占用：建议定期归档或配置日志轮转（logrotate）。
• 选择性审计：推荐仅对敏感目录（如财务、HR）启用，避免全局开启。