Log de Informações. Paulo Ricardo Lisboa de Almeida. Criando arquivos de Log desestruturados. 1 Universidade Positivo

Tamanho: px

Começar a partir da página:

Download "Log de Informações. Paulo Ricardo Lisboa de Almeida. Criando arquivos de Log desestruturados. 1 Universidade Positivo"

Martín Dias Ávila
6 Há anos
Visualizações:

1 Log de Informações Criando arquivos de Log desestruturados Paulo Ricardo Lisboa de Almeida 1

2 Instanciando a aplicação Clone o projeto da aula com o Git (disponível no site da disciplina) Suba o banco de dados Crie as tabelas e rode o script de inserts Utilize o tutorial disponível no site da disciplina Inicialize o Eclipse e importe o Projeto Utilize o tutorial disponível no site da disciplina 2

3 Lidando com Exceções (Erros) É impossível criar uma aplicação livre de erros Alguns erros podem ser apresentados aos usuários para que eles saibam que problema aconteceu ao processar uma requisição enviada Ex.: Ocorreu um erro: a idade informada não pode ser menor que 18 3

4 Lidando com Exceções (Erros) Mensagens de erro podem ser utilizadas como um vetor de ataque Como? 4

5 Lidando com Exceções (Erros) Mensagens de erro podem ser utilizadas como um vetor de ataque Como? Violação de dados (data breach) O sistemas expõe informações que não deveria Mensagens com muita informação podem ser de grande ajuda aos atacantes Nunca deve-se retornar uma mensagem de erro gerada internamente ou qualquer outra informação de debug ao usuário Ex.: Ocorreu um erro. Não foi possível conectar ao banco de dados meubancodb. 5

6 Lidando com Exceções (Erros) Geralmente as mensagens verbosas são originadas de blocos try catch incorretos Exemplo de implementação incorreta Try{ //faz o processamento }catch(exception e){ enviarmensagemerrousuario(e.getmessage()); } 6

7 Lidando com Exceções (Erros) Exemplo de implementação correta Try{ //faz o processamento }catch(exception e){ enviarmensagemerrousuario( Ocorreu uma falha. Contate o adminstrador. ); } 7

8 Lidando com Exceções (Erros) Note que a mensem enviada para o usuário é genérica A aplicação não pode completar a requisição por um motivo genérico Mas e as informações completas sobre o erro (exception) Jogamos fora? 8

9 Lidando com Exceções (Erros) Note que a mensem enviada para o usuário é genérica A aplicação não pode completar a requisição por um motivo genérico Mas e as informações completas sobre o erro (exception) Jogamos fora? Devemos armazenar internamente na aplicação 9

10 Logs de Auditoria Arquivos valiosos para investigação de intrusões ou de crashes da aplicação Quando foi o ocorrido, quais ações foram tomadas, qual o stack trace,... 10

11 Logs de Auditoria Arquivos valiosos para investigação de intrusões ou de crashes da aplicação Quando foi o ocorrido, quais ações foram tomadas, qual o stack trace, Logs devem ser altamente protegidos de qualquer acesso indevido Logs são uma mina de outro quando acessados por crackers Possuem todo tipo de informação como parâmetros de requests e hash de seções Gravar em uma área do sistema que seja inacessível de maneira online (no caso de sistemas web) 11

12 Logs de Auditoria 12

13 Logs em stdout Muitas vezes aplicações são desenvolvidas de forma a exibir as informações de erro na saída padrão e.printstacktrace() Péssima prática de desenvolvimento Por quê? 13

14 Logs em stdout Muitas vezes aplicações são desenvolvidas de forma a exibir as informações de erro na saída padrão e.printstacktrace() Péssima prática de desenvolvimento Informações importantes podem ser perdidas em stdout O usuário pode ter acesso a essas informações, principalmente em sistemas desktop Falta de padronização... 14

15 Criando arquivos de Log Vamos utilizar as APIS Log4j e SLF4j Log4j Sistema de Logs SLF4j Facade (Fachada) que utilizaremos para o Log4j 15

16 Criando arquivos de Log Adicione a seguinte dependência no POM <dependency> <groupid>org.slf4j</groupid> <artifactid>slf4j-log4j12</artifactid> <version>1.7.25</version> </dependency> 16

17 Criando arquivos de Log Em src/main/java, crie um arquivo chamado log4j.properties Insira o seguinte # Root logger option log4j.rootlogger=error, file, stdout #Para arquivo log4j.appender.file=org.apache.log4j.rollingfileappender log4j.appender.file.file=${catalina.home}/logs/logsclinivet.log log4j.appender.file.maxfilesize=100mb log4j.appender.file.maxbackupindex=100 log4j.appender.file.layout=org.apache.log4j.patternlayout log4j.appender.file.layout.conversionpattern=%d{yyyy-mm-dd HH:mm:ss} %-5p %c{1}:%l - %m%n # Direct log messages to stdout log4j.appender.stdout=org.apache.log4j.consoleappender log4j.appender.stdout.target=system.out log4j.appender.stdout.layout=org.apache.log4j.patternlayout log4j.appender.stdout.layout.conversionpattern=%d{absolute} %5p %c{1}:%l %m%n # Hibernate logging options (INFO only shows startup messages) log4j.logger.org.hibernate=error 17

18 Criando arquivos de Log Adicione o seguinte atributo estático na classe JSFMessageUtil private static final Logger LOG = LoggerFactory.getLogger(JSFMessageUtil.class); Pacotes import org.slf4j.logger; import org.slf4j.loggerfactory; 18

19 Criando arquivos de Log Adicione um método que recebem um throwable de JSFMessageUtil para que o erro também seja logado, mas somente uma mensagem simples seja exibida ao usuário public static void senderrormessagetouser(string message, Throwable exception) { LOG.error(message, exception); FacesMessage facesmessage = createmessage(facesmessage.severity_error, PropertiesUtil.getInstance().get("msgCabecalhoErro"), message); RequestContext context = RequestContext.getCurrentInstance(); context.addcallbackparam("errorequest", true); } addmessagetojsfcontext(facesmessage); 19

20 Criando Arquivos de Log O método criado em JSFMessageUtil servirá para enviar mensagens para os usuários através dos ManagedBeans somente Quando o MB cair em uma exceção, utilizar esse método que cuidará da mensagem para nós Exemplo em CadastroAnimaisMB public void excluiranimal() { try { animalfacade.delete(animaledicao.getid()); this.carregarlistaanimais(); }catch(exception e) { JSFMessageUtil.sendErrorMessageToUser (PropertiesUtil.getInstance().get("msgFalhaExcluirAnimal"), e); } } 20

21 Observação Corrigir o botão de exclusão no.xhtml e adicionar um componente growl no template antes de testar 21

22 Criando arquivos de Log As demais classes que tratam qualquer sem empilha-la exceção devem logar a exceção causadora antes Exemplo catch(exception e){ throw new Exception(uma excecao diferente);//logar e } catch(exception e){ throw new Exception(uma excecao diferente,2);//não precisa logar, pois e foi empilhado, e o nível acima tem conhecimento de e } Exemplo em GenericFacade 22

23 Criando Arquivos de Log public class PropertiesUtil { private static final Logger LOG = LoggerFactory.getLogger(GenericFacade.class); private static PropertiesUtil instance = null; private Properties properties; private PropertiesUtil(){ try{ properties = new Properties(); properties.load(getclass(). getresourceasstream("../../../../messages.properties")); }catch(exception e){ LOG.error(e.getMessage(), e); } } //... } 23

24 Outros tipos de Log Existem diversos outros tipos de arquivos de log que são importantes para a aplicação Exemplos: Logs de ação O usuário realiza uma ação sensível, como remover um item, logar, e o sistema armazena essas informações Nesse caso pode ser mais interessante armazenar a informação em um banco de dados Logs de intrusão Tentativas de login, erros de digitação de captcha, uma mesma máquina enviando requisições acima do normal, etc. 24

25 Bibliografia Dafydd Stuttard, Marcus Pinto. The Web Application Hacker's Handbook: Finding and Exploiting Security Flaws. John Wiley & Sons,

Documentos relacionados

Cross-Site Scripting. Paulo Ricardo Lisboa de Almeida. 1 Universidade Positivo

Cross-Site Scripting. Paulo Ricardo Lisboa de Almeida. 1 Universidade Positivo Cross-Site Scripting Paulo Ricardo Lisboa de Almeida 1 Cross-Site Scripting - XSS Foco no ataque aos usuários finais O servidor não é diretamente afetado Dificuldade na detecção dos ataques Podem comprometer