Syslog. Carlos Gustavo A. da Rocha. AASR

Transcrição

1 Carlos Gustavo A. da Rocha

2 Historicamente é o serviço de logs padrão para sistemas UNIX-Like Atualmente são mais utilizados o syslog-ng e rsyslog, com conjuntos de funcionalidades (básicas) bem semelhantes, inclusive a sintaxe dos arquivos de configuração. Possibilita a configuração do serviço de logs de forma centralizada, e não em cada aplicação

3 Historicamente é o serviço de logs padrão para sistemas UNIX-Like (2) Caso uma aplicação utilize o syslog, basta configurar dois parâmetros relacionados ao LOG Uma prioridade Uma facilidade Algumas aplicações optam por não utilizar o syslog Exemplo: Apache

4 O arquivo de configuração principal é o /etc/syslog.conf Ou rsyslog.conf, syslog-ng.conf No rsyslog e syslog-ng o arquivo de configuração possui duas partes Uma relacionada a configuração tradicional do serviço de logs local Outra para a configuração de um servidor de logs, e definição de regras de armazenamento, filtragens etc.

5 A configuração básica do serviço local do syslog é bastante simples Cada linha deve conter a seguinte sintaxe prioridade.facilidade /local/arq/log1.log Podem haver coringas prioridade.* /local/arq/log2.log *.facilidade /local/arq/log3.log Ou outras sintaxes semelhantes : prioridade1,prioridade2.* /local/arq/log4.log

6 As facilidades definidas pelo syslog são: auth, authpriv, cron, daemon, kern, lpr, mail, mark, news, syslog, user, uucp e local0 até local7 As prioridades de cada facilidade são: debug, info, notice, warning, warn (same as warning), err, error (same as err), crit, alert, emerg, panic (same as emerg)

7 Alguns exemplos básicos de configuração SSHD SyslogFacility AUTH LogLevel INFO BIND9 - (incompleto) logging { channel my_syslog { syslog daemon; severity info; };

8 Boa parte das distribuições Linux utiliza o software logrotate, para realizar a rotação e compressão dos arquivos de LOG Ajustar sua configuração também é importante para evitar alguns problemas: Arquivos novos, criados no /var/log, normalmente não serão rotacionados automaticamente; Período de armazenamento de alguns arquivos é muito curto, apenas uma semana, no caso do debian etc

9 A configuração do logrotate é realizada nos arquivos /etc/logrotate.conf e /etc/logrotate.d/* Possui uma série de diretivas globais que serão válidas para todos os arquivos de LOG Seguidas por uma série de seções, onde pode-se especificar diretivas específicas para um ou mais arquivos

10 /etc/logrotate.conf exemplo (simplório) weekly rotate 4 compress # rotaciona uma vez por semana # guarda 4 arquivos (um mês) # comprime os logs antigos /var/log/* { notifempty # não rotaciona se vazio } /var/log/mail.log { monthly rotate 12 # guarda um ano }

11 Servidor de LOGs Servidores estão sucetíveis a falhas de hardware, invasões, perda de dados por erro humano etc O que fazer para ter uma estratégia de preservação de LOGs semelhante a dos dados? Os softwares rsyslog ou syslog-ng podem ser configurados para atuar como um servidor de LOGs LOGs podem ser recebidos de diversas outras máquinas e armazenados de forma centralizada e em tempo real Mesmo que os LOGs da máquina original se perca, a cópia existente no servidor de LOGs será preservada

12 Servidor de LOGs A recepção de LOGs no rsyslog é configurada de forma bastante simples, bastando descomentar as linhas mostradas a seguir # provides UDP syslog reception $ModLoad imudp $UDPServerRun 514 # provides TCP syslog reception $ModLoad imtcp $InputTCPServerRun 5514

13 Servidor de LOGs A separação ou organização dos logs recebidos de diversas origens pode ser feita por meio de um template, como na sugestão/exemplo mostrado a seguir $template remoto, "/var/log/remoto/%hostname%/% $YEAR%/%$MONTH%/%syslogfacility-text%.log" *.*?remoto

14 Syslog enviando LOGs para um servidor A configuração em um syslog (cliente) para que o mesmo envie seus LOGs para um servidor também é bastante simples, conforme exemplo a seguir # envia LOGs via UDP, porta 514 (padrão) # envia LOGs via TCP, porta 5514