Centralização de log para ambientes Linux. Prof. Me. Maurício Severich

Tamanho: px

Começar a partir da página:

Download "Centralização de log para ambientes Linux. Prof. Me. Maurício Severich"

Ana Clara Tavares Amarante
8 Há anos
Visualizações:

1 Centralização de log para ambientes Linux

2 Bel. em Informática Administrador de sistemas Unix Usuário Linux Sobre mim Orgulhoso detentor do cadastro LinuxCounter: # Esp. em Ciência da Computação Mestre em Informática Início da carreira de docente (PR) Analista de Redes SANEAGO mseverich@gmail.com Professor SENAI/FATESG

Orgulhoso detentor do cadastro LinuxCounter: #93692 1998 - Esp.

3 Introdução ao registro de eventos Agenda Serviço de log SENAI/FATESG Centralização de log

4 Onde você gostaria de estar neste exato momento?

5 O que é Log? log: an official record of events during the voyage of a ship or aircraft; log: é o registro oficial de eventos. to log: enter (an incident or fact) in the log of a ship or aircraft or in another systematic record; logar : registrar um incidente ou fato (um evento) no log. Fonte das expressões em inglês: Dicionário do Google Tradutor

6 O que pode gerar log? Sistema operacional; Serviços e dispositivos em rede; Qualquer solução que necessite de uma estratégia de auditoria; Técnicas que viabilizam o retorno para um estado consistente dos dados armazenados: Transações em Banco de dados; Sistemas de arquivos com journaling;

que necessite de uma estratégia de auditoria; Técnicas que viabilizam o

7 Por que registrar eventos? Trilha de auditoria; Verificar aplicação de políticas de segurança; Compreender a atividade em um sistema; Diagnóstico de problemas; Auxílio no desenvolvimento/teste de aplicações;

8 Como são registrados os eventos? Decisão do desenvolvedor do software. São práticas comuns: Usar funções básicas (write) da linguagem para gravar os eventos em arquivo texto; Utilizar alguma função própria da linguagem para interagir com algum serviço de log (syslog); Utilizar alguma API para gerar log (Log4J); Boas práticas: Sempre considerar a importância cronológica do evento; O registro do evento deve conter informações úteis;

Utilizar alguma função própria da linguagem para interagir com algum serviço de log (syslog); Utilizar

9 Onde são armazenados os arquivos de log? Depende da estratégia utilizada para registrar os eventos. São práticas comuns: Criar um arquivo ou pasta de log no local onde o software está instalado; Utilizar a pasta padrão do sistema operacional (/var/log); Armazenar em banco de dados; Logs ocupam espaço! O administrador do sistema operacional deve manter os logs sob controle.

São práticas comuns: Criar um arquivo ou pasta de log no local onde o software está

10 Rotação de log Consiste no fim do uso de um arquivo de log quando o mesmo é considerado completo, para então iniciar o uso de um novo arquivo de log; A automatização desse processo faz o arquivamento dos logs segundo algum critério (ex: cronológico ou tamanho máximo); O arquivamento mantêm disponíveis algumas versões mais antigas de um determinado log para posterior consulta; O processo geralmente inclui compactação; No Linux, o utilitário mais comum é o logrotate.

(ex: cronológico ou tamanho máximo); O arquivamento mantêm disponíveis algumas versões mais antigas de um determinado

11 logrotate Disponível na maioria das distribuições Linux, no Ubuntu vem préconfigurado para execução diária: dpkg -L logrotate grep etc Atenção: isso não significa que os logs sofrem rotação todos os dias! Cada log pode ser rotacionado de acordo com sua configuração: /etc/logrotate.conf /etc/logrotate.d/ufw # ufw logging full; ufw allow OpenSSH; ufw enable

12 Inspeção de logs em shell # cd /var/log # less ufw.log # cat ufw.log grep AUDIT # tail -f ufw.log # zcat -f ufw* awk '{print $12}' sort sort -n uniq -c Nunca use editores de arquivo se os eventos estão sendo registrados no log!

13 Serviço de log - rsyslog O syslog foi desenvolvido em 1980 como parte do projeto Sendmail, que era distribuído no BSD e nele acabou sendo adotado como padrão para log; Permaneceu como um padrão de facto até a publicação da RFC 3164 em 2001 que documentou a forma de operação do mesmo; Atualmente a RFC 5424 é a versão mais recente sobre o padrão syslog; O rsyslog é uma implementação deste padrão, e está disponível na instalação básica do Ubuntu: $ dpkg -L rsyslog grep etc/rsyslog

que documentou a forma de operação do mesmo; Atualmente a RFC 5424 é a versão mais recente sobre o padrão syslog; O

14 rsyslog - Entradas e Saídas Rocket-fast SYStem for LOG processing.

15 rsyslog - habilitando entradas TCP e UDP A RFC 3164 do syslog define a porta 514 (TCP e UDP) como padrão para o serviço; A instalação padrão do Ubuntu não ativa essas portas: # vim /etc/rsyslog.conf $ModLoad imudp $UDPServerRun 514 $ModLoad imtcp $InputTCPServerRun 514

instalação padrão do Ubuntu não ativa essas portas: # vim

16 rsyslog - filtros A partir da versão 7, o rsyslog oferece 3 tipos de filtros que podem selecionar eventos: Tradicionais: baseados nas categorias Facility e Severity compatíveis com a sintaxe original; Por propriedades: permitem verificar (contains, isequal, startswith, regex, ereregex) qualquer propriedade do registro do evento; Deve começar com : na coluna 0; Por expressões: permite construir filtros - if expressão then ação. Sintaxe em evolução, ou seja poderá sofrer mudanças; Exemplo de filtro por propriedade: # vim /etc/rsyslog.d/20-ufw.conf

regex, ereregex) qualquer propriedade do registro do evento; Deve começar com : na coluna 0; Por expressões: permite construir filtros -

17 rsyslog - habilitando saída forward UDP Para encaminhar um evento para outro servidor syslog utiliza-se o módulo omfwd, que não precisa ser carregado, ou seja é builtin: # vim /etc/rsyslog.d/20-ufw.conf :msg,contains,"[ufw " /var/log/ufw.log :msg,contains,"[ufw & stop

carregado, ou seja é builtin: # vim /etc/rsyslog.d/20-ufw.

18 Centralização de Log Redes disparam um volume enorme de eventos; A dificuldade no diagnosticar de problemas é diretamente proporcional a falta de informações sobre os mesmos; O formato do arquivo de log é decidido pelo desenvolvedor do software; Implantar uma estratégia de centralização de log tornará a atividade do administrador de redes mais eficaz e pró-ativa; Existem muitos produtos para cumprir essa tarefa, sendo o Splunk um dos mais completos na tarefa; Infelizmente é software proprietário;

Implantar uma estratégia de centralização de log tornará a atividade do administrador de redes mais eficaz e pró-ativa;

19 Centralização de Log - Splunk Existem muitos produtos para cumprir a tarefa da centralização; O Splunk é certamente um dos mais completos; Infelizmente é software proprietário; Licença baseada em volume de eventos; Qualquer ambiente médio gera muitos eventos;

mais completos; Infelizmente é software proprietário; Licença

21 Centralização de Log - Software Livre AWStats: indicado para logs de servidores web; LogAnalyzer: aceita qualquer log, interface limitante; Soluções baseadas no ElasticSearch: LogStash: primeiro com abordagem semelhante ao Splunk; GrayLog: alternativa ao LogStash;

22 Centralização de Log - AWStats

23 LogAnalyzer

24 LogStash

25 GrayLog

26 GrayLog - configuração básica Realize login no console (ubuntu/ubuntu) Faça elevação de nível para superusuário: $ sudo -s # graylog-ctl set-timezone America/Sao_Paulo # graylog-ctl reconfigure # vim /opt/graylog/conf/graylog.conf +147 (allow_highlighting=true) # graylog-ctl restart

27 Graylog - interface web Utilize seu navegador para realizar login na interface web (admin/admin)

Documentos relacionados

Capítulo 16 - Rsyslog

- Rsyslog - 243 Capítulo 16 - Rsyslog 16.1. Objetivos Entender o funcionamento do Rsyslog; Utilizar as facilidades, níveis e destinos do Rsyslog; Configurar o Rsyslog para fins de debug; Ativar gravação