home *** CD-ROM | disk | FTP | other *** search
/ Cream of the Crop 1 / Cream of the Crop 1.iso / LAN / PAUDT133.ARJ / PAUDIT2.DOC next >
Text File  |  1992-07-29  |  14KB  |  372 lines
  1.  
  2. PAUDIT2              (v1.30  Jan 1992)
  3.                      (Written by Wolfgang Schreiber, WSCHREIB @ NOVELL)
  4.  
  5.  
  6. Purpose:
  7.    Use PAUDIT2 to view the system accounting records (NET$ACCT.DAT).
  8.  
  9.    While NetWare's PAUDIT only allows a global view of accounting data,
  10.    PAUDIT2 gives a more comfortable compact overview and additionally
  11.    allows searching for specific information.
  12.  
  13. Some advantages of PAUDIT2:
  14.    - several criteria to select data from the audit file
  15.    - higher speed, only 10% of PAUDIT's Network load
  16.    - selectable input file
  17.    - read/recover damaged NET$ACCT.DAT
  18.    - optional data base formatted or Btrieve output
  19.  
  20. General information:
  21.    If you have NetWare 2.1x / 2.2x / 3.xx you should have accounting
  22.    installed.  If you have it installed NetWare will put notes about 
  23.    all logins and logouts into the file SYS:SYSTEM\NET$ACCT.DAT.
  24.    This allows you to implement a higher level of security on your system.
  25.  
  26.    If you charge users for any service, charge and activity records will
  27.    also be stored in the accounting file.
  28.  
  29.    The accounting file will grow depending on the activities on your network.
  30.    It is a good idea, to store this file to a floppy and delete it every
  31.    now and then (perhaps once a month) to keep it within reasonable size.
  32.    NetWare will automatically create a new NET$ACCT.DAT.
  33.  
  34. ---------------------------------------------------------------
  35.  
  36. Command Format:      PAUDIT2 [option list]
  37.  
  38.     "PAUDIT2"    without any options shows all available information.
  39.     "PAUDIT2 ?"  gives a syntax overview
  40.  
  41.  
  42. Available options (most options can be combined):
  43.  
  44.      A[fter]=<dd.mm.yy>   Show only events on or after date
  45.      Be[fore]=<dd.mm.yy>  Show only events on or before date
  46.      Bt[rieve][=name]     Output to Btrieve file  (only in PAUDIT2 v1.31)
  47.      C[harges]            Display charges only
  48.      Da[tabase]           Output in data base style
  49.      DefU[ser]            List default users per PC
  50.      DefPC                List default PC address per user
  51.      Di[sk]               Disk access and charges
  52.      F[ile]=<filename>    Input from specified file
  53.      G[roup]=<groupname>  Select only group members
  54.      I[ntruder]           Intruder lockouts
  55.      L[ogin]              Select only login notes
  56.      M[ap]=<username>     Semi-graphic user info
  57.      Ne[twork]=<address>  Network specific
  58.      No[de]=<address>     Station specific
  59.      R[epair]             Rebuild Accounting File
  60.      S[ervername]         Output with Server Name
  61.      Un[usual]            Unusual events, security analysis
  62.      Us[er]=<username>    Select specified user
  63.      W[arning]            Important messages (time changes / intruders)
  64.  
  65.  
  66. ---------------------------------------------------------------
  67.  
  68. New features / Program history:
  69.  
  70.    v1.33  (Jul 92)
  71.    - temporarily close the file NET$ACCT.DAT while waiting for user input. 
  72.      This is a workaround to fix a NetWare bug (NetWare does not allow 
  73.      read access to NET$ACCT.DAT while it adds new records).
  74.    - no blanks between fields in database formatted output
  75.  
  76.    v1.32  (Jul 92)
  77.    - fixed bug in the '/MAP' option
  78.    - '/Database' now has record type 91 for general charges, 
  79.      92 for disk storage charges
  80.  
  81.    v1.31  (Jan 92)
  82.    - Optional output to Btrieve files (feature available on request)
  83.  
  84.    v1.30  (Jan 92)
  85.    - Multiple options can be combined
  86.    - New option 'UNUSUAL'   (security analysis)
  87.    - New options 'DefPC' and 'DefUser' (usage analysis)
  88.    - New options 'Before'/'After'  replace the previous option 'Date'
  89.    - New features of option 'INTRUDER'
  90.    - Higher performance
  91.    - Show current search position during search
  92.    - Shareable access does not lock NET$ACCT.DAT
  93.    - bug fix: Accept user/group names with > 16 chars on command line
  94.    - bug fix: Repair for large accounting files
  95.  
  96.    v1.20  (Sept 91)
  97.    - Output can be formatted for other data base applications
  98.  
  99.    v1.14  (June 91)
  100.    - Allows specification of input file (other than NET$ACCT.DAT)
  101.  
  102.    v1.13  (May 91)
  103.    - Faster scanning of NET$ACCT.DAT with about 90% less network load
  104.      compared to Novell's PAUDIT.EXE
  105.    - Fault tolerant scanning skips bad parts of NET$ACCT.DAT
  106.    - New option 'REPAIR' allows to repair a bad NET$ACCT.DAT
  107.  
  108.    v1.12  (April 91)
  109.    - New options 'GROUP=<name>' and 'CHARGE=<name>'
  110.    - Computation of cumulated charges
  111.    - Built-in self test for virus infection
  112.    - Easier output redirection
  113.  
  114.  
  115. Usage:
  116.    To start PAUDIT2 one must be logged in to the specified file server.
  117.    You may start PAUDIT2 from any drive on the target server.
  118.    You do not need a drive mapping to SYS:SYSTEM, but you need
  119.    Open and Read rights in that directory ([RF] for NW 386).
  120.  
  121.    Output will pause after each screen display (only if not redirected).
  122.  
  123.  
  124. ---------------------------------------------------------------
  125.  
  126. Available Options:
  127.  
  128. <no option>   Show all accounting information
  129.     Syntax:   PAUDIT2
  130.     Example:  PAUDIT2
  131.  
  132.  
  133. After         Select audits from specified date or later
  134.     Syntax:   PAUDIT2 A[fter]=<dd.mm.yy>     (Leading zeros may be omitted)
  135.     Examples: PAUDIT2 After=31.8.91
  136.               PAUDIT2 Group=Students After=31.8.91
  137.  
  138. Before        Select audits from specified date or earlier
  139.     Syntax:   PAUDIT2 Be[fore]=<dd.mm.yy>    (Leading zeros may be omitted)
  140.     Examples: PAUDIT2 Bef=31.8.91
  141.               PAUDIT2 Bef=31.8.91 User=WSchreib Warn
  142.  
  143.  
  144. Btrieve       Output to Btrieve file         (not implemented in all versions)
  145.     Purpose:  Using this switch will cause PAUDIT2 to output its data
  146.               into the specified btrieve file.
  147.     Syntax:   PAUDIT2 Bt[[rieve]=<name>]
  148.     Examples: PAUDIT2 us=WSCHREIB Btrieve
  149.               PAUDIT2 us=WSCHREIB Bt=WS.btr After=31.1.91
  150.  
  151.     If no Btrieve file name is specified, the default name PAUDIT2.BTR
  152.     will be assumed.
  153.  
  154.     This switch is not yet fully implemented.
  155.     Please inform me if Btrieve support should be enhanced.
  156.  
  157.     The record structure for the resulting Btrieve file is:
  158.          RecType   :   Word;
  159.          Date      :   Date;
  160.          Time      :   Time;
  161.          ccode     :   Byte;
  162.          FS_ID     :   LongInt;
  163.          CL_ID     :   LongInt;
  164.          SrvType   :   WORD;
  165.          CmtType   :   WORD;
  166.          Charge    :   LongInt;
  167.          Comment   :   Array[1..20] of BYTE
  168.  
  169.  
  170. Charge        Show charge audits for users or groups
  171.     Syntax:   PAUDIT2 Ch[arge]
  172.     Examples: PAUDIT2 Charge
  173.               PAUDIT2 Ch User=guest
  174.               PAUDIT2 Group=sales Charge
  175.  
  176.  
  177. Database      Output in database format
  178.     Purpose:  Use this switch if you want to prepare PAUDIT2's output
  179.               for export into other data base with selectable field
  180.               delimiters and separators.
  181.     Syntax:   PAUDIT2 Da[tabase]
  182.     Example:  PAUDIT2 us=WSCHREIB Datab  > WS.EXP
  183.  
  184.     Every PAUDIT2 option can be followed by the data base switch.
  185.         Default field delimiter:  "
  186.         Default field separator:  ,
  187.     The result will look like:
  188.         "3", "08-20-1991", "09:55:01", "WSCHREIB", "49211B00:00001B040A63"
  189.         "4", "08-20-1991", "10:57:06", "WSCHREIB", "49211B00:00001B040A63"
  190.  
  191.     Other delimiters can be selected with the environment variable DEL:
  192.         e.g.:  SET DEL='     or SET DEL=NUL  (will result in no delimiters)
  193.     Other separators can be selected with the environment variable SEP:
  194.         e.g.:  SET SEP=;     or SET SEP=TAB  (Tabs as separators)
  195.  
  196.     The first value of each record represents the type of record (type of
  197.     accounting comment) in the accounting log:
  198.          1: Connect time, requests, reads and writes
  199.          2: Disk storage
  200.          3: Login
  201.          4: Logout
  202.          5: Intruder lockout
  203.          6: Server time change
  204.         99: Charges / comments
  205.  
  206.  
  207. DefPC         List all users and their preferred PC addresses
  208.     Purpose:  Create a list of users with their usual node addresses
  209.     Syntax:   PAUDIT2 DefPC
  210.     Example:  PAUDIT2 DefPC
  211.  
  212.  
  213. DefUser       List all PCs addresses and their normal user
  214.     Purpose:  Create a list of nodes with their default user
  215.     Syntax:   PAUDIT2 DefU[ser]
  216.     Example:  PAUDIT2 DefUser
  217.  
  218.  
  219. Disk          Show disk access charges
  220.     Syntax:   PAUDIT2 Di[sk]
  221.     Examples: PAUDIT2 Disk
  222.               PAUDIT2 User=WSCHREIB Before=31.12.90 Disk
  223.  
  224.  
  225. File          Use alternate input file
  226.     Purpose:  Analyse specified file instead of the current accounting file
  227.     Syntax:   PAUDIT2 F[ile]=<name>     (Default is SYS:SYSTEM\NET$ACCT.DAT)
  228.     Example:  PAUDIT2 us=WSCHREIB  File=F:NET$ACCT.OLD
  229.  
  230.  
  231. Group         Show audits for members of specified group
  232.     Syntax:   PAUDIT2 Gr[oup]=<groupname>
  233.     Examples: PAUDIT2 GR=wp_user
  234.               PAUDIT2 GR=wp_user Warning After=1.1.92
  235.  
  236.  
  237. Intruder      Show intruder lockout messages
  238.     Purpose:  Try to locate and identify intruders
  239.               (Cannot be combined with other options)
  240.     Syntax:   PAUDIT2 In[truder]
  241.     Example:  PAUDIT2 Intr
  242.  
  243.  
  244. Login         Show only logins
  245.     Syntax:   PAUDIT2 Lo[gin]
  246.     Examples: PAUDIT2 Log
  247.               PAUDIT2 Login Node=ABC Gr=Students
  248.  
  249.  
  250. Map           Show audits for one user in semi-graphic mode
  251.     Purpose:  Create semi-graphical usage analysis for specified user
  252.     Syntax:   PAUDIT2 MAP=<username>
  253.     Examples: PAUDIT2 MAP=guest
  254.               PAUDIT2 Map=Guest Net=123 before=31.12.1990
  255.  
  256.  
  257. Network       Show all audits for specified network address
  258.     Syntax:   PAUDIT2 Ne[twork]=<net_address>
  259.     Examples: PAUDIT2 Net=A123        (Leading zeros may be omitted)
  260.               PAUDIT2 Net=10ABC User=WSCHREIB Warn
  261.  
  262.  
  263. Repair        Repair damaged NET$ACCT.DAT file
  264.     Purpose:  Correct errors in accounting file
  265.     Syntax:   PAUDIT2 Re[pair]
  266.     Example:  PAUDIT2 Repair
  267.  
  268.     The original NET$ACCT.DAT will NOT be modified. A repaired copy of
  269.     NET$ACCT.DAT with the name 'NET$ACCT. NEW' will be placed to your
  270.     current drive, instead. You should copy this file to SYS:SYSTEM as
  271.     'NET$ACCT.DAT' after saving the damaged original.
  272.  
  273.  
  274. ServerName    Output with preceeding server name
  275.     Purpose:  Allow easier identification of data base information
  276.     Syntax:   PAUDIT2 S[erverName]
  277.     This option is primarily useful in combination with the data base
  278.     option if it is desired to include the server name for documentation.
  279.     Example:  PAUDIT2 User=WSCHREIB Servername Database
  280.  
  281.  
  282. Station       Show all audits fo specified physical station
  283.     Syntax:   PAUDIT2 No[de]=<station_address>
  284.     Examples: PAUDIT2 Node=EC004B     (Leading zeros may be omitted)
  285.               PAUDIT2 Node=2 After=1.1.92
  286.  
  287.  
  288. Unusual       Show users on unusual workstations
  289.     Purpose:  Tries to identify intruders and users who login on unusual
  290.               node addresses
  291.               (Cannot be combined with other options)
  292.     Syntax:   PAUDIT2 Un[usual]
  293.     Example:  PAUDIT2 Unusual
  294.  
  295.     Display all incidents where users login or try to login from PCs
  296.     that they normally don't use.
  297.     Identify the owner of PCs that caused intruder detection warnings.
  298.  
  299.  
  300. User          Show audits for one specified user only
  301.     Syntax:   PAUDIT2 Us[er]=<username>
  302.     Examples: PAUDIT2 US=supervisor
  303.               PAUDIT2 U=Wschreib Net=123
  304.  
  305.  
  306. Warning       Show warnings from audit file
  307.     Purpose:  Show security relevant audits (time changes/intruder)
  308.     Syntax:   PAUDIT2 WA[rning]
  309.     Examples: PAUDIT2 Warn
  310.               PAUDIT2 US=supervisor Warn
  311.  
  312.  
  313. ---------------------------------------------------------------
  314.  
  315. Restrictions:
  316.    - Some options cannot be combined with others:
  317.      'Repair', 'DefPC', 'DefUser', 'Unusual'
  318.    - Some useless combinations are prohibited
  319.    - Btrieve output is available only on request
  320.  
  321. ---------------------------------------------------------------
  322.  
  323.  
  324. Error Messages / Troubleshooting:
  325.  
  326.    - 'Btrieve requester not loaded.'
  327.      To utilize Btrieve file output features of PAUDIT2
  328.      the Btrieve requester must be loaded first.
  329.  
  330.    - 'Could not create ... '
  331.      A new accounting file could not be created. Check rights, drive,
  332.      and name of new file.
  333.  
  334.    - 'Error in ... : offset ...'
  335.      The accounting file was corrupt. Try the option 'REPAIR'
  336.  
  337.    - 'Insufficient Memory'
  338.      Some options (Intruder, DefPC, DefUser, Unusual) nee more memory than
  339.      your PC has. Try removing some resident utilities or use a more
  340.      efficient memory manager.
  341.  
  342.    - 'Invalid Address'
  343.      The address entered was invalid (too short or too long)
  344.  
  345.    - 'Invalid combination of options'
  346.      Some PAUDIT2 options cannot be combined with certain others
  347.  
  348.    - 'Invalid Date'
  349.      Enter the date in European format: Day.Month.Year
  350.  
  351.    - 'Group does not exist'
  352.      A non-existing user was specified on the command line.
  353.  
  354.    - 'PAUDIT2 (...) is damaged or virus infected !'
  355.      PAUDIT2 does not have the expected file size. This might be caused
  356.      by virus infections.  Check your system.
  357.  
  358.    - 'Unexpected end of ... '
  359.      The accounting file was corrupt. Try the option 'REPAIR'
  360.       
  361.    - 'User does not exist'
  362.      A non-existing user was specified on the command line.
  363.  
  364.    - 'Waiting to get file access ... '
  365.      The accounting file SYS:SYSTEM\NET$ACCT.DAT is locked by NetWare
  366.      or another application.
  367.  
  368.  
  369. Public Domain Software written by   Dr. Wolfgang Schreiber
  370.  
  371. --------------------------------------------------------------
  372.