Liferay 7 Portal Security Audit

1. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Liferay Portal Security Audit Cos’è e come funziona il framework di Security Audit 28/01/18 Liferay Portal Security Audit 1 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

2. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Sommario Scopo....................................................................................................................................................4 1. Introduzione......................................................................................................................................5 2. Architettura.......................................................................................................................................7 3. Dentro Liferay Portal Security Audit..............................................................................................11 4. Come tracciare gli eventi................................................................................................................15 5. Come implementare l’Audit Router...............................................................................................19 6. Come implementare l’Audit Message Processor...........................................................................24 6.1 Implementazione del Login Failure Message Processor.....................................................30 7. Aggiornamento del Liferay Portal Security Audit..........................................................................34 Conclusioni.........................................................................................................................................35 Indice delle Tabelle Tabella 1: Configurazione della destinazione liferay/audit..................................................................9 Tabella 2: Informazioni addizionali dell'audit message.....................................................................10 Tabella 3: Moduli del sistema Liferay Portal Security Audit.............................................................11 Tabella 4: Componenti di Audit che sono parte del core di Liferay (Portal Kernel)..........................11 Tabella 5: Attributi del messaggio di audit (classe Audit Message)...................................................13 Tabella 6: Nuovi moduli aggiunti al sistema Liferay Portal Security Audit......................................34 Indice delle Figure Figura 1: Macro Architettura di Liferay Portal Security Audit............................................................7 Figura 2: Diagramma delle classi (parte core) di Liferay Portal Security Audit................................12 Figura 3: Class Diagram del Liferay Portal Security Audit...............................................................14 Figura 4: Configurazione Liferay Portal Security Audit da pannello di controllo.............................21 Figura 5: Abilitazione del Dummy Audit Message processor da pannello di controllo.....................25 28/01/18 Liferay Portal Security Audit 2 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

3. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Indice esempi di codice Code 1: Definizione del componente OSGi che intercetta l'evento AuthFailure...............................16 Code 2: Creazione dell'audit message e invio sul message bus.........................................................18 Code 3: Definizione dell'interfaccia AuditRouter con particolare attenzione al ProxyMode............20 Code 4: Definizione del componente OSGi StandardAuditRouter....................................................20 Code 5: Implementazione del metodo route.......................................................................................22 Code 6: Interfaccia che definisce l'Audit Message Processor............................................................24 Code 7: Implementazione del Dummy Audit Message Processor.....................................................26 Indice Gogo Shell GogoShell 1: Informazioni sullo Standard Audit Router implementato............................................23 GogoShell 2: Informazioni di dettaglio sul Dummy Audit Message Processor.................................30 GogoShell 3: Informazioni di dettaglio su Login Audit Message Processor.....................................32 GogoShell 4: Controllo stato installazione nuovi bundle Liferay Portal Security Audit...................35 Indice Console Console 1: Log del messaggio di audit a fronte di un evento di login...............................................28 Console 2: Log del Login Failure Audit Message Processor.............................................................33 Console 3: Email inviata dal Login Failure Audit Message Processor..............................................33 Console 4: Quick-Start per il checkout e installazione dei nuovi moduli Portal Security Audit.......35 28/01/18 Liferay Portal Security Audit 3 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

4. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Scopo Questo articolo nasce con l’obiettivo di spiegare cosa sia e come funziona il Liferay Portal Security Audit, e di capire come estenderne le funzionalità. Purtroppo sul portale ufficiale Liferay Developer Network (https://dev.liferay.com) non ho trovato nessuna documentazione d’interesse a riguardo. Tutto il lavoro di ricerca e sviluppo che sono riuscito a fare per arrivare a scrivere questo articolo, nasce da qualche vecchissima documentazione sulla wiki e forum di Liferay, dall’analisi del codice sorgente della Community Edition (e in particolare del modulo Liferay Portal Security Audit https://github.com/liferay/com-liferay-portal-security-audit) e da un'approfondita conoscenza di OSGi1 , quest’ultimo ha fatto sicuramente la differenza. La versione e edizione di Liferay a cui si farà esclusivamente riferimento è la 7.0.4 (GA5) Community Edition. 1 La OSGi Alliance (conosciuta come Open Service Gateway initiative), è un'organizzazione che lavora alle specifiche di un framework che definisce la gestione del modello del ciclo di vita del software, i moduli (chiamati bundle), un service registry e un ambiente di esecuzione. Partendo da questo Framework sono stati definiti un certo numero di OSGi Layer (strati), API e servizi. 28/01/18 Liferay Portal Security Audit 4 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

5. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra 1. Introduzione Molte organizzazioni hanno la necessità di adottare un meccanismo di Audit Trail2 al fine di tenere traccia delle azioni svolte dagli utenti sugli oggetti gestiti dal sistema. Tracciare e archiviare il dettaglio delle operazioni svolte, in molti paesi è un obbligo di legge che deve essere seguito. Per venire incontro a questa particolare esigenza Liferay ha sviluppato (se non ricordo male dalla versione 5.3) il Portal Security Audit, un framework che consente di tracciare con il minimo sforzo, informazioni di audit trail che riguardano sia il portale sia le applicazioni installate sulla propria istanza. Il Portal Security Audit è stato progettato in modo tale che sia semplice implementare nuovi componenti per processare le informazioni di audit trail e memorizzare le stesse sui sistemi più disparati (syslog, filesystem, code jms, database, etc.). La maggior parte di voi sa che l’edizione EE3 (o meglio DXP4 ) di Liferay, offre OOTB5 il supporto completo per le funzionalità di Portal Audit Security, dal tracciamento delle informazioni rilevanti della sicurezza (login, logout, modifiche alle informazioni dell'utente, modifiche ai ruoli utente, etc.) alla memorizzazione delle stesse su database. 2 Audit Trail (detta anche registro di controllo) è una registrazione cronologica pertinente alla sicurezza, che fornisce prove documentali della sequenza di attività che hanno interessato in qualsiasi momento un'operazione specifica, procedura, o evento 3 Enterprise Edition che richiede una sottoscrizione da pagare 4 Digital Experience Platform (per maggiori informazioni consulta il portale https://www.liferay.com/it/digital- experience-platform) che richiede comunque una sottoscrizione da pagare 5 Out of the box. Significa che la funzionalità è disponibile per tutti gli utenti per impostazione predefinita e non è necessario pagare in aggiunta per utilizzare tali funzionalità o che deve essere configurato. 28/01/18 Liferay Portal Security Audit 5 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

6. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Non so quanti di voi sono a conoscenza del fatto che l’edizione CE6 di Liferay contiene il framework base del Portal Security Audit ma non l’implementazione delle interfacce software che consentono di tracciare le informazioni di audit e memorizzarle su qualche tipo supporto. Questo non è però un problema: le fondamenta sono la base per ogni nuova costruzione. Da questo momento in poi con il termine Audit Service si farà riferimento all’intero sistema di Liferay Portal Security Audit. 6 Community Edition 28/01/18 Liferay Portal Security Audit 6 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

7. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra 2. Architettura Alfine di garantire un basso grado di accoppiamento, l’Audit Service sfrutta l'architettura del Message Bus7 di Liferay e la modularità offerta dal framework OSGi adottato in via definitiva con la versione 7 di Liferay. In Figura 1 è illustrato il diagramma della macro architettura. Figura 1: Macro Architettura di Liferay Portal Security Audit 7 E’ un componete di Liferay che consente alle applicazioni installate di poter comunicare tra loro attraverso un sistema basato su messaggi. Per maggiori informazioni è possibile consultare l’articolo Introduzione a Liferay Message Bus https://www.dontesta.it/2013/03/29/introduzione-a-liferay-message-bus/ 28/01/18 Liferay Portal Security Audit 7 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

8. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra L’Audit Service gestisce l'elaborazione e la registrazione delle informazioni di audit trail (sotto forma di messaggi di audit) inviati tramite il Message Bus. Qualunque applicazione Liferay può quindi produrre messaggi di audit (o audit message) verso la destinazione (di audit) del Message Bus. Il Message Bus è l’elemento centrale dell’architettura del sistema di Audit Service, i tre componenti principali che completano il sistema sono: • Audit Message Producers: Rappresentano tutte quelle applicazioni o componenti che generano messaggi di audit al verificarsi di determinati eventi e li inviano al Message Bus. Per esempio, il componente Scheduler Engine Helper, genera messaggi di audit ogni qualvolta un job viene eseguito; • Audit Router: É quel componente responsabile dell’acquisizione del messaggi di audit e di effettuare l’inoltro degli stessi verso uno o più Audit Processor; • Audit Message Processor: Sono quei componenti che ricevono i messaggi di audit dall’Audi Router e provvedono alla loro elaborazione ed archiviazione. Sulla base delle proprie esigenze, un messaggio di audit potrebbe essere archiviato su di un database, inviato ad una coda JMS, memorizzato su di un file system, inviato via SMTP, etc. 28/01/18 Liferay Portal Security Audit 8 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

9. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra La destinazione liferay/audit (vedi Figura 1) definita dall’interfaccia Destination Names è opportunamente configurata sul Message Bus attraverso il componente OSGi Audit Messaging Configurator (vedi Figura 3). Le caratteristiche della destinazione sono quelle mostrate nella tabella a seguire. Destination Name liferay/audit (AUDIT) Destination Type Parallel8 Maximum Queue Size 200 audit message in coda. Valore di default che può essere sovrascritto agendo sulla configurazione OSGi del componente (anche da pannello di controllo di Liferay) Rejected Execution Handler Gestione dell’errore nel caso in cui venga superata la capacità della coda Proxy Message Listener Inietta e registra il Proxy Message Listener che riceverà i messaggi inviati (audit message) dai producers verso questa destinazione Tabella 1: Configurazione della destinazione liferay/audit Il Message Listener registrato sulla destinazione liferay/audit che riceve i message audit, li inoltra verso uno o più componenti OSGi (detti Audit Message Processor vedi Figura 1) che hanno la responsabilità di elaborare questi messaggi. É possibile creare uno o più Audit Message Processor che implementino l’interfaccia Audit Message Processor (vedi Figura 2). Gli Audit Message Processor possono essere di tipo globale o specifici per tipo di evento (o Event Type). Questa particolare specifica è dichiarata a livello di annotazione del componente OSGi attraverso la property eventTypes. 8 Utilizzato nei casi in cui i messaggi devono essere inviati in parallelo. Su questo tipo di destinazione è possibile agire sulla configurazione del Thread Pool (Asynchronous “Send and Forget”) 28/01/18 Liferay Portal Security Audit 9 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

10. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Il Message Listener registrato sulla destinazione dedicata all’audit, svolge a tutti gli effetti le funzioni di un router o più propriamente di un Message Content-Based Router9 , che sulla base del valore dell’attributo eventType contenuto sull’audit message, inoltra il messaggio verso l’Audit Message Processor registrato per lo specifico eventType. Gli audit message prodotti sono corredati da una serie d’informazioni addizionali che sono mostrate in Tabella 1. Queste informazioni sono disponibili grazie al componente OSGi Audit Filter che implementa un Servlet Filter popolando il ThreadLocal Audit Request Thread Local. Client Host L’hostname del client remoto Client IP L’indirizzo IP del client remoto Server Name Il nome del server (hostname o FQDN) Server Port La porta TCP/IP del server Session Id L’identificativo della sessione HTTP Tabella 2: Informazioni addizionali dell'audit message Il filtro come componente OSGi è disabilitato di default, l’abilitazione e disabilitazione del componente è regolata da un altro componente OSGi, l’Audit Filter Gatekeeper che abilitata o disabilita il filtro sulla base della proprietà enabled della configurazione OSGi che ha il configurationPid: com.liferay.portal.security.audit.configuration.AuditConfiguration Tramite il pannello di controllo (Pannello di controllo → Configurazione → Impostazioni di Sistema → Foundation → Audit), è possibile modificare questa configurazione, decidendo se abilitare o no l’Audit Service o impostare il numero massimo dei messaggi di audit in coda il cui valore di default è 200 (vedi Figura 4). 9 É uno degli Enterprise Integration Pattern che fa routing basato sul contenuto per indirizzare ciascun messaggio al destinatario corretto in base al contenuto del messaggio. Per maggiori informazioni consultare la documentazione http://www.enterpriseintegrationpatterns.com/patterns/messaging/ContentBasedRouter.html 28/01/18 Liferay Portal Security Audit 10 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

11. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra 3. Dentro Liferay Portal Security Audit Il codice sorgente di Liferay Portal Security Audit è disponibile sul repository GitHub di Liferay all’indirizzo https://github.com/liferay/com-liferay-portal-security-audit. Il progetto è costituto dai due moduli mostrati in Tabella 3. Nome del modulo Descrizione del modulo portal-security-audit-api Questo modulo definisce le API che sono alla base del sistema di Audit Service come per esempio quella per Audit Message Processor portal-security-audit-wiring Questo modulo è responsabile della configurazione e start-up dei componenti base del sistema di Audi Service come per esempio Audit Messaging, Audit Filter, Audit Proxy Router Tabella 3: Moduli del sistema Liferay Portal Security Audit In Tabella 4 sono invece mostrati i componenti che sono parte del sistema di audit ma che risiedono nel core (Portal Kernel) di Liferay all’interno del package com.liferay.portal.kernel.audit. Nome componente Tipo componente Descrizione del componente Audit Message Classe É l’entità che descrive l’audit message la cui istanza contiene le informazioni necessarie per il tracciamento dell’evento di audit. In Tabella 5 sono mostrati gli attributi della classe Audit Router Interfaccia É l’interfaccia che definisce il tipo astratto AuditRouter il cui ruolo è stato definito nel paragrafo di descrizione dell’architettura. Tabella 4: Componenti di Audit che sono parte del core di Liferay (Portal Kernel) 28/01/18 Liferay Portal Security Audit 11 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

12. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Figura 2: Diagramma delle classi (parte core) di Liferay Portal Security Audit Nella Community Edition di Liferay per ottenere un sistema di Audit Service funzionante, occorre realizzare un componente OSGi che implementi l’interfaccia Audit Router e almeno un componente OSGi che implementi l’interfaccia Audit Message Processor. Nei prossimi paragrafi vedremo come implementare questi due essenziali componenti. In Figura 2 è mostrato parte del class diagram di Liferay Portal Security Audit, dove sono evidenti le due interfacce che devono essere implementate. L’interfaccia Audit Router richiede l’implementazione di due metodi: 1. boolean isDeployed(): metodo che indica se il router è disponibile. Ha senso definire che il router è disponibile quando esiste almeno un componente registrato come Audit Message Processor; 2. void route(AuditMessage auditMessage): metodo che esegue il routing del messaggio di audit verso uno o più componenti registrati come Audit Message Processor. 28/01/18 Liferay Portal Security Audit 12 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

13. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra L’interfaccia Audit Message Processor richiede l’implementazione di un unico metodo: 1. void process(AuditMessage auditMessage): metodo che processa il messaggio di audit che riceve in input dall’Audit Router. La classe Audit Message è una moneta importante di scambio tra i vari componenti del sistema di Audit Service. In Tabella 5 sono mostrati tutti gli attributi della classe Audit Message. Nome attributo Descrizione attributo UserName Lo Username dell'utente che compie l'azione UserId Lo User ID dell'utente che compie l'azione Timestamp Il timestamp dell'evento SessionId Identificativo della sessione HTTP ServerPort Porta TCP/IP del server ServerName Nome del server (hostname o FQDN) da cui ha origine l'azione. Informazione utile per gli ambienti in cluster Message Il messaggio da catturare EventType Il tipo di evento da catturare e gestire (LOGIN, LOGOUT, etc.) CompanyId Il companyId dell'istanza di portale ClientIp Indirizzo IP remoto del client che esegue l'azione ClientHost Hostname o FQDN del client remoto che esegue l’azione ClassPK La chiave primaria dell'oggetto dell'azione ClassName Il class name id del modello oggetto dell'azione AdditionalInfo Informazioni aggiuntive in formato JSON che possono essere incluse nel messaggio Tabella 5: Attributi del messaggio di audit (classe Audit Message) 28/01/18 Liferay Portal Security Audit 13 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

14. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra In Figura 3 è illustrato il class diagram completo. Figura 3: Class Diagram del Liferay Portal Security Audit 28/01/18 Liferay Portal Security Audit 14 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

15. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra 4. Come tracciare gli eventi Dopo aver descritto quali sono e quali responsabilità hanno i componenti del sistema di Audit Service di Liferay, è giunto il momento di spiegare come fare per tracciare un qualsiasi evento che possa accadere all’interno del portale. Prendiamo in esame lo specifico evento Auth Failure che accade ogni qualvolta un processo di autenticazione fallisce. Tracciare l’evento significa: 1. Realizzare un componete OSGi (per esempio Login Failure) che implementa l’interfaccia Auth Failure e registrarlo come servizio; 2. Creare tramite la classe Audit Message un nuovo message audit e popolarlo con le informazioni necessarie; 3. Utilizzare l’Audit Message Router iniettato sul componente OSGi per instradare il messaggio di audit verso il message bus. Il codice illustrato in Code 1 mostra la definizione del componente OSGi (via Declarative Services o DS) Login Failure che intercetta l’evento Auth Failure. L’interfaccia Auth Failure richiede l’implementazione dei metodi: • onFailureByEmailAddress: metodo eseguito nel caso in cui fallisca il processo di autenticazione tramite indirizzo email; • onFailureByScreenName: metodo eseguito nel caso in cui fallisca il processo di autenticazione tramite screen name; • onFailureByUserId: metodo eseguito nel caso in cui fallisca il processo di autenticazione tramite userId; 28/01/18 Liferay Portal Security Audit 15 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

16. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra @Component( immediate = true, property = {"key=auth.failure"}, service = AuthFailure.class ) public class LoginFailure implements AuthFailure { ... @Reference private AuditRouter _auditRouter; } Code 1: Definizione del componente OSGi che intercetta l'evento AuthFailure Su ogni metodo andrà scritto il codice per la creazione e popolamento del message audit ed inoltro del messaggio sul message bus attraverso l’Audit Router, quest’ultimo iniettato tramite l’annotazione @Reference, così come indicato in Code 1. Il codice evidenziato in Code 2 mostra appunto la creazione del messaggio di audit attraverso la classe Audit Message e successivo inoltro al message bus. Da notare che il messaggio di audit è stato creato per lo specifico evento LOGIN_FAILURE. Tracciare gli eventi richiede davvero la scrittura di pochissime righe di codice e con i meccanismi offerti da Liferay, siamo in grado di tracciare una miriade di eventi. Un’attività di audit molto comune, è quella di tracciare le modifiche (operazioni CRUD10 ) alle proprie entità (create via Service Builder) sfruttando i Model Listener11 . Qui finisce il come tracciare gli eventi, adesso la responsabilità passa all’Audit Message Router, il quale provvederà ad inoltrare il messaggio di audit al corretto Audit Message Processor, 10 Creazione, lettura, aggiornamento, eliminazione di una risorsa 11 Sono usati per ascoltare gli eventi di persistenza sui modelli e fare qualcosa in risposta (prima o dopo l'evento). Per maggiori informazioni consultare la documentazione ufficiale https://dev.liferay.com/develop/tutorials/-/knowledge_base/7-0/model-listeners 28/01/18 Liferay Portal Security Audit 16 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

17. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra quest’ultimo tratterà il messaggio in modo adeguato. Il codice completo del componente OSGi Login Failure è disponibile alla URL https://goo.gl/W2sJM6. 28/01/18 Liferay Portal Security Audit 17 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

18. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra @Component( immediate = true, property = {"key=auth.failure"}, service = AuthFailure.class ) public class LoginFailure implements AuthFailure { @Override public void onFailureByScreenName( long companyId, String screenName, Map<String, String[]> headerMap, Map<String, String[]> parameterMap) { try { User user = _userLocalService.getUserByScreenName( companyId, screenName); AuditMessage auditMessage = new AuditMessage( EventTypes.LOGIN_FAILURE, user.getCompanyId(), user.getUserId(), user.getFullName(), User.class.getName(), String.valueOf(user.getPrimaryKey()), null, additionalInfoJSONObject); _auditRouter.route(auditMessage); } catch (AuditException ae) { if (_log.isWarnEnabled()) { _log.warn("Unable to route audit message", ae); } } catch (Exception e) { if (_log.isWarnEnabled()) { _log.warn("Unable to route audit message", e); } } } @Reference private AuditRouter _auditRouter; } Code 2: Creazione dell'audit message e invio sul message bus 28/01/18 Liferay Portal Security Audit 18 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

19. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra 5. Come implementare l’Audit Router Nell’ecosistema dell’Audit Service, l’Audit Router è responsabile della consegna dei messaggi di audit ai componenti che sono registrati per il trattamento dello specifico messaggio di audit. La scelta della “rotta” avviene sulla base del contenuto dell’attributo eventType del messaggio di audit. L’Audit Router che andremo a realizzare sarà anch’esso un componente OSGi che chiameremo Standard Audit Router e che dovrà soddisfare i seguenti requisiti: 1. Implementare l’interfaccia Audit Router che definisce due metodi: a) boolean isDeployed(): metodo che indica se il router è disponibile. Ha senso definire che il router è disponibile quando esiste almeno un componente registrato come Audit Message Processor; b) void route(AuditMessage auditMessage): metodo che esegue il routing del messaggio di audit verso uno o più componenti registrati come Audit Message Processor. Questo metodo in particolare è annotato per essere eseguito in modo asincrono (vedi Code 3). 2. Conoscere la lista degli Audit Message Processor registrati (come servizi OSGi) ed essere in grado di riconoscere per quale tipo di evento del messagio sono responsabili. Il tipo di evento è dichiarato da ogni Audit Message Processor come proprietà del componente; 3. Leggere dalla configurazione OSGi se il sistema di Audit Service è abilitato oppure no; 4. Nel processo di attivazione12 (o starting) il componente deve registrarsi come servizio Proxy Message Listener impostando la proprietà destination.name con il nome della destinazione del message bus liferay/audit (vedi DestinationNames.AUDIT). 12 É una fase del ciclo di vita dei bundle OSGi. Per maggiori informazioni a riguardo, consultare http://www.vogella.com/tutorials/OSGi/article.html#life-cycle-of-plug-ins-in-osgi 28/01/18 Liferay Portal Security Audit 19 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

20. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra public interface AuditRouter { @MessagingProxy(mode = ProxyMode.SYNC) public boolean isDeployed(); @MessagingProxy(mode = ProxyMode.ASYNC) public void route(AuditMessage auditMessage) throws AuditException; } Code 3: Definizione dell'interfaccia AuditRouter con particolare attenzione al ProxyMode Il codice mostrato in Code 4 mostra la definizione del componente OSGi Standard Audit Router che implementa l’interfaccia Audit Router. Notare che questo componente tiene conto della configurazione OSGi definita dal configurationPid. Tramite il pannello di controllo (Pannello di controllo → Configurazione → Impostazioni di Sistema → Foundation → Audit), è possibile modificare questa configurazione, decidendo se abilitare o no l’Audit Service o impostare il numero massimo dei messaggi di audit in coda il cui valore di default è 200 (vedi Figura 4). @Component( configurationPid = "com.liferay.portal.security.audit.configuration.AuditConfiguration", configurationPolicy = ConfigurationPolicy.OPTIONAL, immediate = true, service = StandardAuditRouter.class ) public class StandardAuditRouter implements AuditRouter { ... } Code 4: Definizione del componente OSGi StandardAuditRouter 28/01/18 Liferay Portal Security Audit 20 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

21. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Figura 4: Configurazione Liferay Portal Security Audit da pannello di controllo 28/01/18 Liferay Portal Security Audit 21 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

22. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Il codice illustrato in Code 5, è la parte core dell’implementazione del metodo route. La prima riga (evidenziata) legge il tipo di evento dal messaggio di audit, la seconda riga (evidenziata) invia il messaggio di audit a tutti gli Audit Message Processor registrati come globali, la terza riga (evidenziata) invia il messaggio di audit ai soli Audit Message Processor registrati per lo specifico evento. Il codice completo del componente OSGi Standard Audit Router che implementa l’Audit Router è disponibile alla URL https://goo.gl/Ls5wVn Chi è il responsabile di “tirar su” la nostra implementazione dell’Audit Router? I due componenti fondamentali che giocano questo ruolo sono l’Audit Messaging Configurator e l’Audit Router Proxy Bean Configurator. Questi due componenti sono parte del modulo audit-wiring. @Override public void route(AuditMessage auditMessage) throws AuditException { String eventType = auditMessage.getEventType(); for (AuditMessageProcessor globalAuditMessageProcessor : _globalAuditMessageProcessors) { globalAuditMessageProcessor.process(auditMessage); } Set<AuditMessageProcessor> auditMessageProcessors = _auditMessageProcessors.get(eventType); if (auditMessageProcessors != null) { for (AuditMessageProcessor auditMessageProcessor : auditMessageProcessors) { auditMessageProcessor.process(auditMessage); } } } Code 5: Implementazione del metodo route 28/01/18 Liferay Portal Security Audit 22 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

23. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Supponendo di aver installato sulla propria istanza di Liferay il router Standard Audit Router, potremmo verificare lo stato dell’installazione e ottenere delle informazioni utili attraverso la Gogo Shell. A seguire sono mostrate le informazioni ottenute utilizzando i comandi b13 e service14 . g! b 583 it.dontesta.labs.liferay.portal.security.audit.router_1.0.0 [583] Id=583, Status=ACTIVE Data Root=/opt/liferay-ce-portal-7.0- ga5/osgi/state/org.eclipse.osgi/583/data "Registered Services" {it.dontesta.labs.liferay.portal.security.audit.router.StandardAuditRouter} = { auditMessageMaxQueueSize = 200, service.pid = com.liferay.portal.security.audit.configuration.AuditConfiguration, enabled = true, component.name = it.dontesta.labs.liferay.portal.security.audit.router.StandardAuditRouter, component.id = 2583, service.id = 7174, service.bundleid = 583, service.scope = bundle } ... g! services com.liferay.portal.kernel.messaging.proxy.ProxyMessageListener {com.liferay.portal.kernel.messaging.proxy.ProxyMessageListener} = { destination.name = liferay / audit, service.id = 7175, service.bundleid = 583, service.scope = singleton } "Registered by bundle:" it.dontesta.labs.liferay.portal.security.audit.router_1.0.0 [583] "Bundles using service" com.liferay.portal.security.audit.wiring_2.0.4 [343] GogoShell 1: Informazioni sullo Standard Audit Router implementato 13 Elenca le informazioni su un bundle specifico che include il nome simbolico del bundle, l'ID bundle, la root dei dati, i servizi registrati (forniti) e usati, i pacchetti importati ed esportati e altro ancora 14 Elenca tutti i servizi che sono stati registrati nel framework dei moduli di Liferay o il dettaglio del servizio specificato 28/01/18 Liferay Portal Security Audit 23 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

24. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra 6. Come implementare l’Audit Message Processor Nell’ecosistema dell’Audit Service, l’Audit Message Processor è quel componente responsabile del trattamento dei messaggi di audit ricevuti dall’Audit Router. Ricordiamo che il sistema di Audit Service può disporre di uno o più Audit Message Processor (ma anche di zero, come nel caso della Community Edition). È possibile configurare due tipologie di message processor: processori globali e processori per determinati tipi di eventi, in questo modo siamo nelle condizioni di poter differenziare il luogo dove memorizzare le azioni in base alla loro tipologia. La scelta del processore da utilizzare è molto importante perché il numero di messaggi di audit potrebbe crescere molto rapidamente, quindi potrebbe impattare sulle prestazioni. Il nostro Audit Message Processor che andremo a realizzare, sarà anch’esso un componente OSGi che chiameremo Dummy Audit Message Processor e che dovrà implementare l’interfaccia Audit Message Processor (mostrata in Code 6). Quest’interfaccia dichiara il solo metodo void process (AuditMessagge auditMessage), richiamato dall’Audit Router (vedi Code 5). public interface AuditMessageProcessor { public void process(AuditMessage auditMessage) throws AuditException; } Code 6: Interfaccia che definisce l'Audit Message Processor Il codice mostrato in Code 7 è l’implementazione del componente OSGi Dummy Audit Message Processor, dichiarato come processore globale specificando la property eventTypes con il 28/01/18 Liferay Portal Security Audit 24 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

25. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra valore asterisco (o star) e non farà altro che scrivere in formato JSON su file di log il messaggio di audit ricevuto. Questo componente OSGi ha una configurazione associata con il solo parametro enabled, il cui valore di default è false. Agendo su questo parametro (direttamente da pannello di controllo vedi Figura 5) si potrà decidere se far processare o no i messaggi di audit. Figura 5: Abilitazione del Dummy Audit Message processor da pannello di controllo 28/01/18 Liferay Portal Security Audit 25 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

26. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra @Component( configurationPid = "it.dontesta.labs.liferay.portal.security.audit.message.processor.dummy.con figuration.DummyAuditMessageProcessorConfiguration", immediate = true, property = "eventTypes=*", service = AuditMessageProcessor.class ) public class DummyAuditMessageProcessor implements AuditMessageProcessor { @Override public void process(AuditMessage auditMessage) { try { doProcess(auditMessage); } catch (Exception e) { _log.fatal("Unable to process audit message " + auditMessage, e); } } @Activate @Modified protected void activate(Map<String, Object> properties) { _dummyAuditMessageProcessorConfiguration = ConfigurableUtil.createConfigurable( DummyAuditMessageProcessorConfiguration.class, properties); } protected void doProcess(AuditMessage auditMessage) throws Exception { if (_dummyAuditMessageProcessorConfiguration.enabled()) { if(_log.isInfoEnabled()) { _log.info("Dummy processor processing this Audit Message => " + auditMessage.toJSONObject()); } } } } Code 7: Implementazione del Dummy Audit Message Processor 28/01/18 Liferay Portal Security Audit 26 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

27. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Il codice completo del componente Dummy Audit Message Processor è disponibile alla URL https://goo.gl/8G2uUF Nel caso in cui volessimo che questo message processor sia specifico per il soli messaggi di audit tipo LOGIN_FAILURE, basterebbe cambiare il valore della property eventTypes da asterisco (o star) con il valore LOGIN_FAILURE. In Console 1 è mostrato il messaggio di audit ricevuto dal Dummy Audit Message Processor e inviato al logger. In questo caso è stato registrato un messaggio di audit a fronte di un evento di login (tramite email) al portale non andato a buon fine (eventType=LOGIN_FAILURE). 28/01/18 Liferay Portal Security Audit 27 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

28. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra 15:45:02,200 INFO [liferay/audit-1][DummyAuditMessageProcessor:47] Dummy processor processing this Audit Message => { "clientHost": "127.0.0.1", "serverName": "localhost", "className": "com.liferay.portal.kernel.model.User", "sessionID": "9412D7B6A3FF03153BA58924373C90B0", "eventType": "LOGIN_FAILURE", "serverPort": 8080, "userName": "Test Test", "userId": "20156", "companyId": "20116", "classPK": "20156", "clientIP": "127.0.0.1", "additionalInfo": { "headers": "{"javaClass":"java.util.HashMap","map": {"referer":["http://localhost:8080/web/guest/home"],"content-length": ["1579"],"accept-language":["it-IT,it;q=0.8,en- US;q=0.5,en;q=0.3"],"cookie":["_ga=GA1.1.1443444771.1515593630; COOKIE_SUPPORT=true; Idea-a0087133=febc0b35-515b-49d0-8242-4cf83b6afe2b; JSESSIONID=9412D7B6A3FF03153BA58924373C90B0; LFR_SESSION_STATE_20120=1516897163010; LFR_SESSION_STATE_20156=expired; GUEST_LANGUAGE_ID=en_US; COMPANY_ID=20116; ID=2b30564533314a414932335638786f556e66554a38773d3d"],"host": ["localhost:8080"],"upgrade-insecure-requests":["1"],"content- type":["application/x-www-form-urlencoded"],"connection":["keep- alive"],"accept-encoding":["gzip, deflate"],"user-agent": ["Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:57.0) Gecko/20100101 Firefox/57.0"],"accept": ["text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"]}}", "reason": "Failed to authenticate by email address" }, "timestamp": "20180125161926545" } Console 1: Log del messaggio di audit a fronte di un evento di login Supponendo di aver installato sulla propria istanza di Liferay il Dummy Audit Message Processor, potremmo verificare lo stato e ottenere delle informazioni utili attraverso la Gogo Shell. A seguire sono mostrate le informazioni ottenute utilizzando i comandi b e service. 28/01/18 Liferay Portal Security Audit 28 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

29. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Com’è possibile notare dall’output del comando b 583, dopo il deploy del bundle contenente il nuovo message processor, il bundle dello Standard Audit Router, vede come servizio OSGi il componente Dummy Audit Message Processor, da notare anche la proprietà eventTypes impostata ad asterisco (o star), questo fa in modo che il message processor sia di tipo globale, processerà ogni tipo di messaggio di audit. g! b 583 it.dontesta.labs.liferay.portal.security.audit.router_1.0.0 [583] Id=583, Status=ACTIVE Data Root=/opt/liferay-ce-portal-7.0- ga5/osgi/state/org.eclipse.osgi/583/data "Registered Services" ... Services in use: {com.liferay.portal.security.audit.AuditMessageProcessor} = { service.pid = it.dontesta.labs.liferay.portal.security.audit.message.processor.dummy.conf iguration.DummyAuditMessageProcessorConfiguration, enabled = true, component.name = it.dontesta.labs.liferay.portal.security.audit.message.processor.dummy.Dumm yAuditMessageProcessor, eventTypes = * , component.id = 2584, service.id = 7182, service.bundleid = 582, service.scope = bundle } g! services com.liferay.portal.security.audit.AuditMessageProcessor {com.liferay.portal.security.audit.AuditMessageProcessor} = { service.pid = it.dontesta.labs.liferay.portal.security.audit.message.processor.dummy.conf iguration.DummyAuditMessageProcessorConfiguration, enabled = true, component.name = it.dontesta.labs.liferay.portal.security.audit.message.processor.dummy.Dumm yAuditMessageProcessor, eventTypes = * , component.id = 2584, service.id = 7182, service.bundleid = 582, service.scope = bundle } "Registered by bundle:" 28/01/18 Liferay Portal Security Audit 29 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

30. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra it.dontesta.labs.liferay.portal.security.audit.message.processor.dummy_1.0. 0 [582] "Bundles using service" it.dontesta.labs.liferay.portal.security.audit.router_1.0.0 [583] GogoShell 2: Informazioni di dettaglio sul Dummy Audit Message Processor 6.1 Implementazione del Login Failure Message Processor Supponiamo di voler fare in modo che il processo di autenticazione non andato a buon fine sia tracciato tramite l’invio di una mail ad una casella di posta configurata. Nel capitolo 4. Come tracciare gli eventi abbiamo illustrato il modo d’intercettare tutti i processi di autenticazione non andati a buon fine e come costruire ed inviare il messaggio di audit che appartiene al tipo LOGIN_FAILURE. Per raggiungere quindi l’obiettivo preposto, occorre implementare un message processor dedicato all’elaborazione dei soli messaggi di audit “taggati” come LOGIN_FAILURE. 28/01/18 Liferay Portal Security Audit 30 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

31. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Cosa cambia rispetto al Dummy Audit Message Processor? Quasi nulla, occorre semplicemente: • Specificare nella property eventTypes il valore LOGIN_FAILURE • Cambiare l’implementazione del metodo process() per fare in modo d’inviare il contenuto del messaggio di audit via email; • Aggiungere dei parametri di configurazione addizionali necessari per il corretto invio della email: ◦ reportTo: Imposta l’indirizzo email a cui inviare l’email di audit report; ◦ from: Imposta il mittente dell’email; ◦ emailSubject: Imposta l’oggetto dall’email. Questo nuovo message processor, il cui nome è Login Failure Audit Message Processor, andrà ad aggiungersi a quello sviluppato precedentemente. Il codice sorgente completo di questo nuovo componente OSGi è disponibile alla URL https://goo.gl/Rx58nr Supponendo di aver installato sulla propria istanza di Liferay il nuovo message processor, potremmo verificare lo stato d’installazione e ottenere delle informazioni utili attraverso la Gogo Shell. A seguire sono mostrate le informazioni ottenute utilizzando i comandi b e service. Com’è possibile notare dall’output del comando b 586, dopo il deploy del bundle contenente il nuovo message processor, il bundle dello Standard Audit Router, vede come servizio OSGi anche il nuovo componente Login Failure Message Processor, da notare anche la proprietà eventTypes impostata al valore LOGIN_FAILURE. 28/01/18 Liferay Portal Security Audit 31 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

32. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra g! b 586 it.dontesta.labs.liferay.portal.security.audit.router_1.0.0 [587] Id=587, Status=ACTIVE Data Root=/opt/liferay-ce-portal-7.0-ga5/osgi/state/org.eclipse.osgi/587/data Services in use: {com.liferay.portal.security.audit.AuditMessageProcessor} = { service.pid = it.dontesta.labs.liferay.portal.security.audit.message.processor.configuration.LoginFailureAuditMessageProce ssorConfiguration, enabled = true, component.name = it.dontesta.labs.liferay.portal.security.audit.message.processor.LoginFailureAuditMessageProcessor, eventTypes = LOGIN_FAILURE, component.id = 2634, service.id = 7282, service.bundleid = 586, service.scope = bundle } {com.liferay.portal.security.audit.AuditMessageProcessor} = { service.pid = it.dontesta.labs.liferay.portal.security.audit.message.processor.configuration.DummyAuditMessageProcessorCon figuration, enabled = true, component.name = it.dontesta.labs.liferay.portal.security.audit.message.processor.DummyAuditMessageProcessor, eventTypes = * , component.id = 2633, service.id = 7281, service.bundleid = 586, service.scope = bundle } g! services com.liferay.portal.security.audit.AuditMessageProcessor {com.liferay.portal.security.audit.AuditMessageProcessor} = { service.pid = it.dontesta.labs.liferay.portal.security.audit.message.processor.configuration.DummyAuditMessageProcessorCon figuration, enabled = true, component.name = it.dontesta.labs.liferay.portal.security.audit.message.processor.DummyAuditMessageProcessor, eventTypes = * , component.id = 2633, service.id = 7281, service.bundleid = 586, service.scope = bundle } "Registered by bundle:" it.dontesta.labs.liferay.portal.security.audit.message.processor_1 .0 .0[586] "Bundles using service" it.dontesta.labs.liferay.portal.security.audit.router_1 .0 .0[587] {com.liferay.portal.security.audit.AuditMessageProcessor} = { service.pid = it.dontesta.labs.liferay.portal.security.audit.message.processor.configuration.LoginFailureAuditMessageProce ssorConfiguration, enabled = true, component.name = it.dontesta.labs.liferay.portal.security.audit.message.processor.LoginFailureAuditMessageProcessor, eventTypes = LOGIN_FAILURE, component.id = 2634, service.id = 7282, service.bundleid = 586, service.scope = bundle } "Registered by bundle:" it.dontesta.labs.liferay.portal.security.audit.message.processor_1 .0 .0[586] "Bundles using service" it.dontesta.labs.liferay.portal.security.audit.router_1 .0 .0[587] GogoShell 3: Informazioni di dettaglio su Login Audit Message Processor 28/01/18 Liferay Portal Security Audit 32 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

33. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra Con questo nuovo audit message processor, ad ogni tentativo di autenticazione fallito, sarà inviata una mail all’indirizzo specificato in configurazione e contenente il messaggio di audit (vedi Console 3). 17:22:39,134 INFO [liferay/audit-1][LoginFailureAuditMessageProcessor:74] Send report audit email to antonio.musarra@gmail.com Console 2: Log del Login Failure Audit Message Processor Return-Path: <antonio.musarra@gmail.com> Received: from mbp-di-antonio.homenet.telecomitalia.it (host175-227-dynamic.7-87- r.retail.telecomitalia.it. [87.7.227.175]) by smtp.gmail.com with ESMTPSA id d73sm2530485wma.25.2018.01.25.12.50.03 for <antonio.musarra@gmail.com> (version=TLS1_2 cipher=ECDHE-RSA-AES128-GCM-SHA256 bits=128/128); Thu, 25 Jan 2018 12:50:04 -0800 (PST) From: antonio.musarra@gmail.com X-Google-Original-From: noreply-loginfailure@dontesta.it Date: Thu, 25 Jan 2018 20:50:02 +0000 (GMT) To: antonio.musarra@gmail.com Message-ID: <228761971.11516913404175.JavaMail.amusarra@mbp-di- antonio.homenet.telecomitalia.it> Subject: Report Login Failure MIME-Version: 1.0 Content-Type: text/plain;charset="UTF-8" Content-Transfer-Encoding: quoted-printable X-Auto-Response-Suppress: AutoReply, DR, NDR, NRN, OOF, RN {"clientHost":"127.0.0.1","serverName":"localhost","className":"com.liferay= .portal.kernel.model.User","sessionID":"0042B583005B6E76EE921D9D6EF5D6F6","= eventType":"LOGIN_FAILURE","serverPort":8080,"userName":"Test Test","userId= ":"20156","companyId":"20116","classPK":"20156","clientIP":"127.0.0.1","add= itionalInfo":{"headers":"{"javaClass":"java.util.HashMap","map":{"re= ferer":["http://localhost:8080/web/guest/home"],"content-length":["13= 42"],"x-pjax":["true"],"accept-language":["it-IT,it;q=3D0.8,en-US;q= =3D0.5,en;q=3D0.3"],"cookie":["_ga=3DGA1.1.1443444771.1515593630; COOKI= E_SUPPORT=3Dtrue; Idea-a0087133=3Dfebc0b35-515b-49d0-8242-4cf83b6afe2b; JSE= SSIONID=3D0042B583005B6E76EE921D9D6EF5D6F6; LFR_SESSION_STATE_20120=3D15169= 13386897; LFR_SESSION_STATE_20156=3D1516899679024; GUEST_LANGUAGE_ID=3Den_U= S"],"host":["localhost:8080"],"x-requested-with":["XMLHttpRequest"= ],"content-type":["multipart/form-data; boundary=3D---------------------= ------1222549060258516924534523787"],"connection":["keep-alive"],"acc= ept-encoding":["gzip, deflate"],"user-agent":["Mozilla/5.0 (Macintosh= ; Intel Mac OS X 10.13; rv:57.0) Gecko/20100101 Firefox/57.0"],"accept":= ["*/*"]}}","reason":"Failed to authenticate by email address"},"timestamp= ":"20180125205002056"} Console 3: Email inviata dal Login Failure Audit Message Processor 28/01/18 Liferay Portal Security Audit 33 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

34. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra 7. Aggiornamento del Liferay Portal Security Audit Sul capitolo 3. Dentro Liferay Portal Security Audit è stata fatta un’approfondita panoramica del codice sorgente di Liferay Portal Security Audit (disponibile su GitHub). Nel corso dell’articolo abbiamo inoltre affrontato come implementare i componenti OSGi necessari per ottenere un sistema di Audit Service funzionante sulla Community Edition di Liferay. Come ultra bonus, tutto il codice sviluppato è disponibile sul mio repository GitHub liferay- portal-security-audit (https://github.com/amusarra/liferay-portal-security-audit). Il progetto è organizzato così come descritto in Tabella 6. Nome del modulo Descrizione del modulo portal-security-audit-capture-events Questo modulo contiene i componenti che catturano eventi del portale come per esempio AuthFailure. Questi componenti tracciano gli eventi inviandoli ai message processor attraverso l’Audit Router portal-security-audit-router Questo modulo contiene il componente Standard Audit router che l’implementa l’interfaccia Audit Router portal-security-message-processor Questo modulo contiene i due message processor che abbiamo implementato nel corso di quest’articolo e che sono: Dummy Audit Message Processor e Login Failure Message Processor Tabella 6: Nuovi moduli aggiunti al sistema Liferay Portal Security Audit Questo progetto è un ottimo punto di partenza che potete senz’altro estendere secondo le vostre esigenze, ottenendo così un sistema di Audit Service partendo dal framework alla base del Liferay Portal Security Audit. In Console 4 sono mostrati gli step necessari per ottenere e installare i tre moduli mostrati in Tabella 6. 28/01/18 Liferay Portal Security Audit 34 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)

35. Antonio Musarra’s Blog The ideal solution for a problem Document Revision: 1.0.0 Blog: https://www.dontesta.it LinkedIn: https://www.linkedin.com/in/amusarra SlideShare: https://www.slideshare.net/amusarra Twitter: https://twitter.com/antonio_musarra $ git clone https://github.com/amusarra/liferay-portal-security-audit.git $ cd liferay-portal-security-audit $ ./gradlew clean deploy $ cp ../bundles/osgi/modules/*.jar $LIFERAY_HOME/deploy/ Console 4: Quick-Start per il checkout e installazione dei nuovi moduli Portal Security Audit Verificare il corretto deploy dei tre bundle tramite il file di log di Liferay o tramite la Gogo Shell utilizzando il comando lb accertando che lo stato sia Active. g! lb|grep Audit 342|Active | 10|Liferay Portal Security Audit API (2.0.2) 343|Active | 10|Liferay Portal Security Audit Wiring (2.0.4) 584|Active | 10|Liferay Portal Security Audit Capture Events (1.0.0) 586|Active | 10|Liferay Portal Security Audit Message Processor (1.0.0) 587|Active | 10|Liferay Portal Security Audit Router (1.0.0) GogoShell 4: Controllo stato installazione nuovi bundle Liferay Portal Security Audit Conclusioni Con questo articolo ho cercato di esporre con semplicità il framework Liferay di Security Audit analizzando il codice sorgente disponibile su GitHub, con l’obiettivo di realizzare i componenti mancanti al fine di ottenere un sistema di Audit Service funzionante in toto anche per la Community Edition. Spero di essere stato chiaro nell’esposizione e che sia riuscito a catture il vostro interesse per l’argomento; se così fosse, potreste restituirmi il favore condividendo l’articolo sui canali di social network o altri, ciò che ho scritto potrebbe essere utile anche ad altre persone. 28/01/18 Liferay Portal Security Audit 35 Questo documento è rilasciato con licenza Creative Commons Attribuzione – Non Commerciale – Condividi allo stesso modo 3.0 (CC BY-NC-SA 3.0 IT - https://goo.gl/jYtSzA)