Actionlogs in Joomla

Vroeg of laat stelt elke website-eigenaar een vraag die begint met "wie". Wie heeft gisteravond de homepage gedepubliceerd? Wie heeft die extensie geïnstalleerd die niemand herkent? Heeft de nieuwe redacteur echt twaalf artikelen verwijderd, of vergist de klant zich?

Zonder registratie hebben deze vragen geen antwoord en blijft je gissen.

Joomla beantwoordt ze met een kleine maar krachtige kerncomponent genaamd User Actions Log (com_actionlogs). Deze registreert stilletjes elke belangrijke wijziging op je site: opslaan, verwijderen, publiceren, inloggen, installeren en configuratiewijzigingen. Elke registratie bevat de gebruiker, de actie, het tijdstip en (optioneel) het IP-adres. Je hoeft niets te installeren. Het zit al in Joomla.

Wie wat deed, wanneer en vanaf waar, automatisch vastgelegd door Joomla zonder één enkele extensie van derden.

In dit artikel leggen we uit hoe de component Action Logs werkt, wat er wordt geregistreerd, hoe je het logboek kunt lezen en filteren, hoe meldingen en CSV-export werken en hoe je het logboek gezond houdt op een drukbezochte website. Het doel is om website-eigenaren, beheerders en ontwikkelaars voldoende inzicht te geven in deze stille getuige, zodat ze erop kunnen vertrouwen op de dag dat het nodig is.

2. Wat wordt er gelogd?

2.1 De standaard gelogde extensies

U bepaalt zelf welke componenten worden gevolgd via Opties → Gelogde extensies. Dit is een meerkeuzelijst waarin standaard alle core-componenten zijn ingeschakeld:

com_banners     com_cache       com_categories   com_checkin
com_config      com_contact     com_content      com_fields
com_guidedtours com_installer   com_media        com_menus
com_messages    com_modules     com_newsfeeds    com_plugins
com_redirect    com_scheduler   com_tags         com_templates
com_users

Verwijder je een extensie uit deze lijst, dan worden de gebeurtenissen ervan stilzwijgend genegeerd. Er worden geen logregels meer aangemaakt. Het beperken van deze lijst is de meest effectieve manier om logvervuiling op een drukke website te verminderen.

2.2 Gebeurtenissen in de contentlevenscyclus

Voor elke logbare component abonneert de recorder-plugin zich op drie content-events:

Elke keer dat je een artikel opslaat, een categorie verwijdert of een menu-item publiceert, wordt er dus een logregel aangemaakt.

2.3 Gebeurtenissen in de gebruikerslevenscyclus

Gebruikersgebeurtenissen zijn het belangrijkst voor het opsporen van misbruik van accounts:

Een detail dat veel mensen verrast: mislukte logins met een onbekende gebruikersnaam worden niet gelogd. De plugin controleert eerst of de gebruiker bestaat, waardoor geautomatiseerde scans en bots niet in het auditlog terechtkomen.

2.4 Gebeurtenissen rond extensies

Alles wat wijzigingen aanbrengt in de extensietabel wordt geregistreerd:

Dit is bijzonder waardevol bij onderzoek na een incident. De vraag "wanneer hebben we die kwetsbare plugin geïnstalleerd?" is dan met één zoekopdracht te beantwoorden.

2.5 Configuratiewijzigingen

Joomla registreert ook het opslaan van configuraties:

• onApplicationAfterSave: de Algemene Configuratie is opgeslagen.
• onExtensionAfterSave met context com_config.component: het Opties-scherm van een component is opgeslagen.

In beide gevallen wordt vastgelegd welke instellingengroep is gewijzigd, maar niet welke waarden precies zijn veranderd. Als je een exacte vergelijking tussen oude en nieuwe waarden nodig heeft, is daarvoor een kleine maatwerkplugin nodig (zie sectie 11).

2.6 Operationele gebeurtenissen

Ook enkele onderhoudsacties worden geregistreerd:

Ja, het opschonen van het logboek wordt zelf ook gelogd. Na een opschoning blijft er precies één regel over: "Gebruiker admin heeft de actielogs opgeschoond." Het auditspoor documenteert zichzelf.

2.7 API-verzoeken (optioneel)

Als je Opties → API-endpoints loggen = Ja inschakelt, registreert Joomla iedere Web Services API-aanroep tijdens de verwerking. Met een tweede optie, Gelogde HTTP-methoden, bepaal je welke verzoektypen worden vastgelegd. Standaard staat alleen GET aan, maar op productiesites kiest men meestal minimaal ook voor POST, PUT, PATCH en DELETE.

Een waarschuwing: API-logging vult de tabel erg snel. Schakel het in tijdens een onderzoek en schakel het daarna weer uit voor normaal gebruik. In sectie 8 bekijken we de impact op de omvang van het logboek.

4. Exporteren en opschonen

4.1 CSV-export

De lijstweergave bevat twee exportknoppen in de werkbalk:

Het scheidingsteken is instelbaar via Opties → CSV-scheidingsteken. Kies een puntkomma (;) als je spreadsheetprogramma (zoals de Nederlandse versie van Excel) komma's als decimaalteken gebruikt.

De export wordt streamend uitgevoerd, één regel tegelijk. Daardoor raakt zelfs een logboek met een miljoen records niet door het beschikbare PHP-geheugen heen.

4.2 Bescherming tegen CSV-injectie

Joomla ontsnapt automatisch elke cel die begint met =, +, -, @, een tabteken of een carriage return door er een enkele apostrof voor te plaatsen. Dit voorkomt de klassieke aanval via "Excel-formule-injectie", waarbij een gelogde gebruikersnaam zoals =cmd|'/c calc'!A1 anders als formule zou worden uitgevoerd zodra een beheerder het CSV-bestand opent.

Als je ooit een eigen exportfunctie ontwikkelt, behoud deze beveiliging. Die is er met een goede reden.

4.3 Het logboek opschonen

Met de knop Opschonen in de werkbalk verwijder je alle records uit #__action_logs. Daarna schrijft Joomla direct één nieuwe logregel weg, zodat er altijd één record overblijft waarin staat wie het logboek heeft opgeschoond en wanneer.

Veelvoorkomende redenen om het logboek op te schonen:

• Na een langdurige migratieperiode, wanneer je met een schone lei wilt beginnen.
• Voordat je uitsluitend recente activiteiten wilt exporteren.

Er is geen mogelijkheid om dit ongedaan te maken en Joomla bevat geen ingebouwde functie voor automatisch opschonen. Voor geautomatiseerde opruiming kun je een Taakplanner-taak gebruiken (zie sectie 8).

6. Onder de motorkap

6.1 De vier tabellen

Action Logs gebruikt vier databasetabellen:

#__action_logs              één record per gelogde actie
#__action_logs_extensions   de lijst met deelnemende extensies
#__action_log_config        hoe elk contenttype wordt weergegeven
#__action_logs_users        meldingsvoorkeuren per gebruiker

De belangrijkste tabel is #__action_logs. De drie andere zijn relatief kleine referentietabellen.

6.2 De hoofdlogtabel

De belangrijkste velden van #__action_logs zijn:

id                   auto-increment primaire sleutel
message_language_key sjabloonsleutel, bijvoorbeeld PLG_ACTIONLOG_JOOMLA_CONTENT_UPDATED
message              JSON met de plaatsvervangende waarden
log_date             tijdstip waarop de actie plaatsvond
extension            context, bijvoorbeeld com_content.article
user_id              uitvoerende gebruiker (0 = gast of systeem)
item_id              ID van het betrokken item (0 indien niet van toepassing)
ip_address           echt IP-adres, "Disabled" of "Invalid"

De tabel bevat verschillende indexen op user_id, (user_id, log_date), (user_id, extension) en (extension, item_id). Dankzij deze indexen blijft een filter zoals "toon alle acties van gebruiker X" snel werken, zelfs wanneer het logboek miljoenen records bevat.

6.3 De JSON-berichtenstructuur

Hier wordt het interessant. De kolom message bevat niet de uiteindelijke tekst die je in het logboek ziet. In plaats daarvan bevat deze een JSON-object met plaatsvervangende waarden:

{
  "action": "update",
  "type": "PLG_ACTIONLOG_JOOMLA_TYPE_ARTICLE",
  "id": 42,
  "title": "About Us",
  "itemlink": "index.php?option=com_content&task=article.edit&id=42",
  "userid": 100,
  "username": "admin",
  "accountlink": "index.php?option=com_users&task=user.edit&id=100"
}

De message_language_key verwijst naar een sjabloon, bijvoorbeeld:

"User {username} updated {type} {title}."

Tijdens het weergeven vervangt Joomla de JSON-waarden door de daadwerkelijke gegevens en maakt het van de gebruikersnaam en titel klikbare links. Dit is precies waarom het logboek vertaalbaar is: het bericht bestaat uit een sleutel en niet uit een vaste tekst. Installeer je het Nederlandse taalpakket, dan verandert "User admin updated..." automatisch in "Gebruiker admin heeft ... bijgewerkt."

6.4 De contenttype-mapping

De tabel #__action_log_config vertelt de renderer hoe elk contenttype moet worden verwerkt. Voor ieder type wordt vastgelegd welke kolom het ID bevat, welke kolom de titel bevat, welke tabel gebruikt wordt en welke tekstprefix nodig is om de juiste taalstring op te bouwen:

type_alias              id_holder     title_holder   table_name
com_content.article     id            title          #__content
com_categories.category id            title          #__categories
com_redirect.link       id            old_url        #__redirect_links
com_modules.module      id            title          #__modules
...ongeveer 23 regels in Joomla 6

Een maatwerkcomponent kan zijn eigen contenttype registreren door hier een extra record toe te voegen. Ontwikkelaars gebruiken dit mechanisme om hun eigen extensies compatibel te maken met Action Logs (zie sectie 11).

8. Prestaties en schaalbaarheid

8.1 Hoe snel groeit het logboek?

Voor een gemiddeld contentteam blijft het logboek relatief klein. Een team van vijf redacteuren genereert bijvoorbeeld ongeveer:

~50 artikelwijzigingen per dag + ~20 menu-/modulewijzigingen per dag + ~10 logins per dag
= ongeveer 80 records per dag = ~2.400 records per maand = ~30.000 records per jaar

Elke logregel neemt ongeveer 500 bytes in beslag. Eén jaar aan gegevens komt daarmee neer op circa 15 MB. Dat vormt geen enkel probleem.

API-logging verandert dit beeld volledig. Een website die via de API gemiddeld 10 verzoeken per seconde verwerkt, genereert al snel 864.000 logregels per dag. Schakel deze functie daarom niet zonder goede reden in.

8.2 Strategieën voor opschonen

Een Taakplanner-taak is de meest nette manier om het logboek beheersbaar te houden. Een eenvoudige opschoontaak verwijdert alles wat ouder is dan 90 dagen:

DELETE FROM jos_action_logs
WHERE log_date < NOW() - INTERVAL 90 DAY;

Een slimmere aanpak bewaart beveiligingsrelevante gebeurtenissen langer en verwijdert alleen routinematige contentwijzigingen:

DELETE FROM jos_action_logs
WHERE log_date < NOW() - INTERVAL 90 DAY
  AND extension NOT IN ('com_users', 'com_installer', 'com_config');

Logins, extensie-installaties en configuratiewijzigingen zijn doorgaans waardevoller voor forensisch onderzoek dan gewone opslagacties. Hun belang neemt vaak juist toe naarmate ze ouder worden.

8.3 Snelle en trage query's

Dankzij de aanwezige indexen blijven query's die filteren op gebruiker, datum, extensie of item-ID snel:

-- Snel: alle acties van één gebruiker in de afgelopen 7 dagen
SELECT * FROM jos_action_logs
WHERE user_id = 100 AND log_date > NOW() - INTERVAL 7 DAY
ORDER BY log_date DESC;

Vrije-tekstzoekopdrachten in het JSON-bericht beschikken echter over geen bruikbare index en moeten de volledige tabel doorzoeken:

-- Traag: vrije-tekstzoekactie in het bericht
SELECT * FROM jos_action_logs
WHERE message LIKE '%phishing%';

De zoekfunctie in de lijstweergave gebruikt precies zo'n LIKE '%...%'-query. Voor incidenteel gebruik door een beheerder is dat prima, maar gebruik dit niet als basis voor geautomatiseerde monitoring of polling.

8.4 Praktische SQL-query's voor onderzoek

Mislukte logins van gisteren, een handige indicator voor brute-force-aanvallen:

SELECT user_id, COUNT(*) AS attempts
FROM jos_action_logs
WHERE message_language_key = 'PLG_ACTIONLOG_JOOMLA_USER_LOGIN_FAILED'
  AND log_date > NOW() - INTERVAL 1 DAY
GROUP BY user_id
HAVING attempts > 5
ORDER BY attempts DESC;

Recente extensie-installaties, een nuttige controle op ongewenste software:

SELECT log_date, user_id, message
FROM jos_action_logs
WHERE extension = 'com_installer'
  AND log_date > NOW() - INTERVAL 7 DAY
ORDER BY log_date DESC;

Vergeet niet jos_ te vervangen door het daadwerkelijke databasevoorvoegsel van je Joomla-installatie.

10. Beveiliging en compliance

10.1 Het auditspoor is zelf ook een doelwit

Een aanvaller die beheerderstoegang verkrijgt, wil vaak niet alleen iets kwaadaardigs uitvoeren, maar ook de sporen wissen. Het actielogboek maakt dat moeilijker, maar biedt geen volledige garantie. Een Super User kan het logboek opschonen, de recorder uitschakelen of zelfs afzonderlijke records verwijderen via directe SQL-opdrachten.

Verstandige maatregelen zijn onder meer:

• Beperk het recht Verwijderen tot één speciaal beveiligingsaccount.
• Sla loggegevens ook extern op, zodat de lokale kopie niet de enige bron van waarheid is.
• Controleer actief op meta-gebeurtenissen, zoals het opschonen van het logboek of het uitschakelen van de recorder-plugin.

Ook je eigen beheerders verdienen controle. Het logboek is een afschrikmiddel en een forensisch hulpmiddel, geen absolute garantie.

10.2 Loggegevens omzetten in actie

Een logboek dat je pas achteraf bekijkt benut slechts de helft van zijn waarde. Action Logs kunnen ook gebruikt worden als basis voor automatische detectie en waarschuwingen:

• Waarschuwingen bij brute-force-aanvallen: een Taakplanner-taak voert periodiek de query voor mislukte logins uit en verstuurt een melding via Slack of e-mail zodra een drempelwaarde wordt overschreden.
• Meldingen bij verdachte installaties: een webhook die reageert op extensie-installaties en direct het beveiligingsteam informeert. Een plugin-installatie om 03:00 uur door een beheerder die normaal alleen overdag werkt, is bijvoorbeeld verdacht.
• Bewaking van privilege-escalatie: een melding wanneer iemand wordt toegevoegd aan de groep Super Users. Dit hoort slechts zelden voor te komen.

Het actielogboek vormt je detectielaag. Combineer het met een reactielaag, bijvoorbeeld via Joomla-plug-ins, Taakplanner-taken of een extern monitoringsysteem.

10.3 Een minimale maar effectieve beveiligingsconfiguratie

Voor een productiewebsite die echt belangrijk is, levert ongeveer twintig minuten configuratiewerk veel extra veiligheid op:

1. Action Logs inschakelen voor com_users, com_installer, com_config, com_plugins, com_modules en com_templates.
2. IP-logging inschakelen en een bewaartermijn van 90 dagen instellen via een geplande taak.
3. Meldingen inschakelen voor Super User-accounts, met toezicht op com_users en com_installer.
4. Het recht Verwijderen beperken tot één speciaal beveiligingsaccount.
5. Dagelijks de query voor mislukte logins controleren, of een dashboard gebruiken dat dezelfde informatie toont.

De investering betaalt zich terug zodra iemand probeert slimmer te zijn dan het systeem.

12. Action Logs versus andere logbestanden

12.1 Action Logs versus het systeemlogboek

Joomla beschikt ook over een technisch systeemlogboek dat wordt gevuld via Log::add(). Beide logsystemen hebben een ander doel:

Gebruik Action Logs om te achterhalen wie wat heeft gedaan binnen Joomla. Gebruik het systeemlogboek voor technische gebeurtenissen. Beide vullen elkaar aan.

12.2 Action Logs versus serverlogs

Action Logs werken op het niveau van de applicatie. Alles wat het Joomla-eventsysteem niet bereikt, blijft onzichtbaar voor het actielogboek. Voor een compleet beeld heb je daarom ook de infrastructuurlaag nodig:

Een voorbeeld maakt het verschil duidelijk. Een artikel dat een HTTP 500-fout veroorzaakt verschijnt in het PHP-foutenlogboek en in het access log, maar niet in Action Logs, omdat het opslag-event nooit werd uitgevoerd. Het omgekeerde geldt ook: een redacteur die stilletjes een pagina naar de prullenbak verplaatst, verschijnt duidelijk in Action Logs, terwijl het access log slechts een gewone POST-aanvraag met statuscode 200 laat zien.

Voor serieus forensisch onderzoek combineer je tijdstempels uit al deze bronnen. Action Logs beantwoorden de vraag wie, serverlogs beantwoorden de vraag hoe het verzoek binnenkwam. Samen vertellen ze wat er werkelijk is gebeurd.

14. In het kort

COMPONENT       Gebruikers → Action Logs
MELDINGEN       Gebruikers → Meldingen Action Logs
OPTIES          Gebruikers → Action Logs → Opties
RECORDER        Systeem → Plugins → Action Log - Joomla
NOTIFIER        Systeem → Plugins → System - Action Logs
HOOFDTABEL      #__action_logs
GELOGDE EXTS    Opties → Gelogde extensies (standaard 21)
IP-LOGGING      Opties → IP-logging (standaard UIT)
API-LOGGING     Opties → API-endpoints loggen (standaard UIT)
EXPORT          Werkbalk → Alles exporteren / Geselecteerde exporteren
OPSCHONEN       Werkbalk → Opschonen (geen undo, wordt zelf gelogd)
RETENTIE        com_scheduler → SQL Operations-taak
SINDS           Joomla 3.9 (mei 2018)