Old:Configurare un server Syslog su Debian: differenze tra le versioni

In una serverfarm, ma anche in una piccola rete casalinga, può risultare molto utile riunire i log di tutte le macchine in un unico posto. Si possono in questo modo applicare funzioni di analisi, ricerca e statistica che, in un unico intervento, restituiranno lo stato di tutte le macchine della rete, e sarà inoltre possibile configurare un unico strumento per inviare messaggi di alert quando lo stato di una qualsiasi delle macchine monitorate subisce un'alterazione potenzialmente pericolosa.<br/>

Debian, come è lecito aspettarsi, mette a disposizione degli ottimi strumenti per creare un server di log centralizzato.

Il server syslog che prenderemo in considerazione sarà '''Syslog-NG'''. Pur non essendo installato di default su sistemi Debian, dove invece si può trovare syslogd, questo demone presenta diversi vantaggi:

# Le connessioni possono essere stabilite via TCP al posto di UDP

# apt-get install syslog-ng

</pre>

Il file di configurazione di syslog-ng è <code>'''/etc/syslog-ng/syslog-ng.conf'''</code>. Occorre aprirlo con un editor, decommentare la linea:

<pre>

</pre>

in modo da abilitare il demone a ricevere log da client remoti.<br/>

Prima di installare phpLogCon è necessario installare e configurare un ambiente LAMP, seguendo ad esempio le indicazioni riportare in questa guida: [[LAMP: Linux, Apache, MySQL e PHP]].<br/>

Una volta terminata la configurazione dell'ambiente LAMP si può procedere all'installazione di phpLogCon. Si scarichi innanzitutto la versione più aggiornata dal sito ufficiale: http://www.phplogcon.org/downloads.<br/>

<pre>

# tar -xzvf phplogcon-2.3.11.tar.gz

# mv /var/www/src /var/www/phplogcon

</pre>

<pre>

</pre>

Verifichiamo quindi la buona riuscita dei comandi:

groups www-data

</pre>

<pre>

# cd

# ./configure.sh

</pre>

<pre>

</pre>

Modifichiamo infine anche il file <code>'''/etc/logrotate.d/syslog-ng'''</code>, cercando la sezione relativa a syslog e modificandola come segue:

   daily

   compress

   postrotate

       /etc/init.d/syslog-ng reload >/dev/null

}

</pre>

Un'interfaccia alternativa molto potente è Splunk (http://www.splunk.com/).<br>

Per installare Splunk, dopo aver scaricato il pacchetto .deb per la nostra architettura spostiamoci nella directory di download e diamo i comandi:

<pre>

</pre>

Per avviare Splunk per la prima volta diamo il comando:

<pre>

</pre>

Una volta terminata l'installazione dirigiamoci all'interfaccia web di Splunk:

<pre>

[http://www.splunk.com/support Qui] trovate tutta la documentazione per utilizzare al meglio questo potente software per l'analisi dei log.

L'utility '''logrotate''' è pensata per semplificare l'amministrazione dei file di log. Logrotate permette la rotazione automatica, la compressione, l'eliminazione e l'invio per mail dei file di log; può inoltre essere impostato per l'esecuzione giornaliera, settimanale, mensile o quando i log raggiungono una certa dimensione predefinita.<br/>

Per installare logrotate su Debian:

# apt-get install logrotate

</pre>

Attraverso il file di configurazione di logrotate è possibile definire il comportamento dell'applicazione in due contesti: a livello globale (nella prima parte del file) e a livello locale dove le regole ridefinite prevalgono su quelle globali. Per ogni file di cui si vuole effettuare la rotazione è necessario indicarne il percorso, al quale seguono tra parentesi graffe le direttive di gestione.

<br>

Tra le direttive più utili:

* '''Criteri di rotazione'''

* '''Compressione'''

* '''Gestione File'''

* '''Configurazione'''

* '''Operazioni Pre-log e Post-log'''

<pre>

root@test:~# ls -1 /var/log/apache2/

</pre>

Si possono notare i file di log attualmente in uso (<code>'''access.log'''</code> e <code>'''error.log'''</code>), i file di log del giorno precedente (<code>'''access.log.1'''</code> e <code>'''error.log.1'''</code>) e i file dei giorni ancora precedenti, che di default vengono compressi e conservati per cinque settimane.

Un tipico file di configurazione di logrotate è simile a questo:

<pre>

</pre>

Analizziamolo nel dettaglio:

<pre>

# apt-get install logwatch

</pre>

<pre>

vostro_utente: vostro_utente indirizzo_esterno@pippo.com

Non dimenticate, alla fine delle modifiche, di lanciare il comando:

<pre>

</pre>

Se invece amate avere sott'occhio i log in un terminale, potreste trovare utile il pacchetto '''ccze''', che altro non è che un coloratore di log molto comodo. Per installarlo:

</pre>

Si apra il file <code>'''/etc/syslogd.conf'''</code>. La sintassi utilizzata in questo file è molto semplice:

<pre>

kern.alert @10.2.5.8  # Gli alert del kernel sono forwardati a 10.2.5.8

</pre>

<pre>

# etc/init.d/sysklogd restart

</pre>

La configurazione di un client syslog-ng è leggermente più complicata, ma offre più opzioni di personalizzazione.<br/>

Iniziamo con installare il demone sul client:

destination(destination_name);

};  

Vediamo alcuni esempi.

<pre>

source s_all {

};  

</pre>

<pre>

source s_all {

};

destination d1 { tcp("10.15.61.1" port (54321)); };  

};  

</pre>

<pre>

source s_all {

};  

</pre>

L'incapacità di Windows di mantenere e gestire i log in maniera semplice e unificata è notoria. Di default i log si sfogliano dall'interno del '''Visualizzatore Eventi''' (Pannello di Controllo - Strumenti di Amministrazione - Visualizzatore Eventi).<br/>

Sfortunatamente ci sono due inconvenienti:

# Snare Agent, scaricabile da http://www.intersectalliance.com/projects/SnareWindows/index.html

# NTSyslog, scaricabile da http://ntsyslog.sourceforge.net/

Consiglio anche di aumentare la dimensione massima dei file di log di Windows, di default troppo bassa, e di agire su '''Criteri di Protezione Locali''' per abilitare un criterio di auditing un po' più efficace di quello attivo nella configurazione di default.