如何使用日志监控工具对VDI环境进行审计

对于VDI环境中的审计来说，最好的防守方式就是进攻。如果你已经制定并合理部署了完善的日志文件监控策略，那么你的过程就会更加轻松，并且为审计需求做好了准备。

完善的准备和计划能够让日志文件监控满足任何审计申请或需求。如果你现在没有使用日志文件或者用户行为监控工具，那么应该开始考虑部署了。在现在或者将来需要进行审计的时候可以提出完整的解决方案，并且不会缺失以前的数据。审计部门甚至会感谢你。需要注意的是，要选择可以满足所有需求的日志文件和用户行为监控工具。

[[113122]]

日志文件是核心

对于虚拟桌面基础设施(VDI)环境说，部署日志文件监控和整合系统是审计的强制性要求。需要使用那些支持环境中所有操作系统和平台的日志监控工具。

为了应对任何可能的审计需求，你应该定期对服务器、存储设备和用户桌面进行监控和日志文件整合。你还需要对网络设备进行监控以便能够了解环境中的所有情况。对于那些运行常用操作系统，比如Linux或者Windows的网络设备，你可以使用常规的日志监控工具进行监控。除此之外，对于那些运行嵌入式系统的网络设备，还需要使用系统日志syslog进行监控，所以需要确保你选择的日志文件监控系统能够接收系统日志syslog信息。

为了制定和部署一套综合的日志文件监控系统，首先需要制定策略来将所有日志文件存储在一个集中的、具有容错功能的存储系统当中。如果你的环境中有几百甚至数千台服务器，就应该以一种能够轻松读取的方式收集和存储大规模的日志数据。大多数的综合性日志监控工具都针对日志文件数据提供了集中式存储系统，但是一些低端系统可能只包含了日志文件数据自动收集功能。

如果你购买了一个不具有集中数据整合以及检索功能的日志监控工具，那么就需要自己想方法来针对这些功能进行自动化。所以需要认真考虑选择低端日志文件监控工具节省下来开支，是否足够构建自己的数据整合流程。部署没有自动整合以及日志数据存储的日志文件管理工具的成本价格分析显示，购买具有日志数据整合功能的工具更加容易和划算。

确保你选择的日志监控系统可以搜索常见的重要错误信息。它还应该允许你依据自定义日志文件错误信息进行搜索、创建报警。获得最高评价的日志监控工具包括ManageEngine EventLog Analyzer、Paessler PRTG Network Monitor、Splunk 和LogMeister。如果你已经运行了支持日志文件监控的计算监控工具，在选择另外一款工具时就需要注意避免购买同样的功能。

键盘记录器和用户行为监控

针对VDI环境进行审计的下一步是考虑在VDI桌面上部署键盘记录器和用户行为监控工具。它们都是非常有用的工具，可以记录员工在公司的计算资源上执行了哪些操作。

键盘记录器将每个用户的键盘输入记录都存储在一个日志文件当中，你可以搜索关键错误。它们可以让你监控员工是否遵守企业或监管规定。作为IT或监管审计的一部分，在满足其对用户日志数据的审查时，这种信息是至关重要的。

相比于键盘记录，用户行为监控的功能更进一步，其收集的日志数据包含了日常的用户截图、文件传输、活动和非活动时间段、在线搜索、浏览的网站等信息。用户行为监控是监控员工行为最为深入的方式，但是相比于标准的日志文件监控，用户行为监控工具所产生的数据可能十分庞大，所以需要确保对用户行为监控数据进行恰当地整合以及存储。

用户行为监控工具的主要使用场景是合规性审计和刑事调查。ObserveIT、Dell Quest One和SpectorSoft Spector 360都是综合性用户行为监控工具。

关联日志、键盘记录和用户行为

日志文件监控流程的最后一步就是在不同的系统和平台上，设计实现日志文件关联的方式。

日志数据关联可以在收集数据的所有平台上，实现相关日志信息的自动链接。比如，你可以将网络设备的缓存区溢出错误和服务器以及用户桌面上显示性能下降的日志文件错误相关联。如果没有进行关联，你需要对这三种错误信息进行分别调查，而不知道其他错误信息可能与此相关。通过在集中日志数据存储中运行关联工具，就可以轻松地找出网络缓存溢出是这三种错误信息的根本原因。

CorreLog、Logscape 和Tenable的日志关联引擎是日志文件关联工具的主要代表，可以帮助你在解决VDI问题时节省时间和金钱。