Auditlog in Samba seit Update auf UCS5.0-4 keine Funktion, Freigaben kein Zugriff

[boospy]

Hallo Leute,

wir machen hier schon sehr lange in Samba ein Auditlog das wiederum über fail2ban und einer langen Liste von schädlichen Verschlüsselungtrojanern geschützt wird. Bei einem Fund wird der ausgelöste Client (da genügt es eine böse Datei mit der Maus zu berühren) sofort automatisch mittels iptables ausgesperrt. Genaueres steht in meinem Howto hier.

Na jedenfalls funktioniert das Auditlog seit dem Update nicht mehr richtig. Sobald es bei der Freigabe aktiviert
vfs objects full_audit acl_xattr
Ist diese nicht mehr Zugreifbar. Entfernt man “full_audit” tut es wieder ganz normal. In der Datei “/etc/samba/local.conf” steht auch noch folgendes:

[GLOBAL]
full_audit:failure = none
full_audit:success = pwrite write rename create_file
full_audit:prefix = IP=%I|USER=%u|MACHINE=%m|VOLUME=%S
full_audit:facility = local7
full_audit:priority = NOTICE

Sambaversion:
4.18.3-1A~5.0.0.202307171116

Ähnliches findet man auch hier:

Cool Solution - Ransomware protection with Fail2Ban

Note: Cool Solutions are articles documenting additional functionality based on Univention products. Packages provided by a Cool Solutions Repository are built by Univention, but will not be maintained. Not all of the shown steps in the article are covered by Univention Support. For questions about your support coverage contact your contact person at Univention before you want to implement one of the shown steps. This article desribes how to setup thorough Samba logging and Fail2Ban log analys…

Und noch der Artikel von Samba direkt.

Hab bis jetzt keine Lösung gefunden. Vielen Dank schon mal für die Hilfe.

lg
boospy

[Andreas_T]

Hi, keine Ahnung ob das mit dem Problem zu tun hat, aber rename wurde irgendwann zu renameat geändert. Wir haben außerdem noch mkdirat und unlinkat in unserer Config.

[boospy]

Vielen Dank @Andreas_T . Das hat mir sehr geholfen. Es hat sich tatsächlich nur “rename” zu “renameat” geändert. Funktioniert wieder, wie gehabt.