Old:Configurare un server Syslog su Debian: differenze tra le versioni

== Introduzione ==

In una serverfarm, ma anche in una piccola rete casalinga, può risultare molto utile riunire i log di tutte le macchine in un unico posto. Si possono in questo modo applicare funzioni di analisi, ricerca e statistica che, in un unico intervento, restituiranno lo stato di tutte le macchine della rete, e sarà inoltre possibile configurare un unico strumento per inviare messaggi di alert quando lo stato di una qualsiasi delle macchine monitorate subisce un'alterazione potenzialmente pericolosa.<br/>

== Installazione di phpLogCon ==

{{Box | Nota |phpLogCon ha attualmente cambiato nome in LogAnalyzer. Il nuovo software è trattato nel capitolo successivo}}

Prima di installare phpLogCon è necessario installare e configurare un ambiente LAMP, seguendo ad esempio le indicazioni riportare in questa guida: [[LAMP: Linux, Apache, MySQL e PHP]].<br/>

Una volta terminata la configurazione dell'ambiente LAMP si può procedere all'installazione di phpLogCon. Si scarichi innanzitutto la versione più aggiornata dal sito ufficiale: http://www.phplogcon.org/downloads.<br/>

# mv /var/www/src /var/www/phplogcon

</pre>

<pre>

# groupadd adm

}

</pre>

== Installazione di LogAnalyzer 3.x ==

La sua installazione procede essenzialmente in maniera identica a quella di phpLogCon, ma in questo paragrafo esamineremo anche l'utilizzo di un database MySQL di appoggio. Prima di installare LogAnalyzer è necessario installare e configurare un ambiente LAMP, seguendo ad esempio le indicazioni riportare in questa guida: [[LAMP: Linux, Apache, MySQL e PHP]].<br/>

Una volta terminata la configurazione dell'ambiente LAMP si può procedere all'installazione di LogAnalyzer. Si scarichi innanzitutto la versione più aggiornata dal sito ufficiale: http://www.loganalyzer.adiscon.com/downloads.<br/>

# mv /var/www/src /var/www/loganalyzer

</pre>

<pre>

# groupadd adm

== Installazione di Splunk ==

Un'interfaccia alternativa molto potente è Splunk (http://www.splunk.com/).<br>

Per installare Splunk, dopo aver scaricato il pacchetto .deb per la nostra architettura spostiamoci nella directory di download e diamo i comandi:

<pre>

</pre>

dove <code>package_name</code> corrisponde al numero di versione del pacchetto scaricato.<br>

Per avviare Splunk per la prima volta diamo il comando:

<pre>

</pre>

(potete trovare il testo della licenza qui: <code>/opt/splunk/license-eula.txt</code>).<br>

</pre>

Si possono notare i file di log attualmente in uso (<code>'''access.log'''</code> e <code>'''error.log'''</code>), i file di log del giorno precedente (<code>'''access.log.1'''</code> e <code>'''error.log.1'''</code>) e i file dei giorni ancora precedenti, che di default vengono compressi e conservati per cinque settimane.

# il file di configurazione <code>/etc/logrotate.conf</code>  

# la directory di configurazione <code>/etc/logrotate.d</code>

Analizziamolo nel dettaglio:

# <code>/var/log/apache2/*.log</code>: indica i file che vengono interessati dal processo;

# <code>rotate nn</code>: saranno conservati non più di <code>nn</code> file;

# <code>compress</code>: i file saranno compressi con gzip. Alternativa: <code>nocompress</code>;

# <code>delaycompress</code>: non comprime i log del giorno prima;

# <code>notifempty</code>: non esegue la rotazione se il file è vuoto. Alternativa: <code>ifempty</code>;

# <code>sharedscripts</code>: esegue ogni script di prerotate o postrotate su ogni file. Alternativa: <code>nosharedscripts</code>;

# <code>postrotate + endscript</code>: ogni cosa tra queste due voci viene eseguita dopo il processo di rotazione. Alternativa: <code>prerotate</code>.

== Programmi utili ==

<pre>

# apt-get install logwatch

Non dimenticate, alla fine delle modifiche, di lanciare il comando:

<pre>

</pre>

Se invece amate avere sott'occhio i log in un terminale, potreste trovare utile il pacchetto '''ccze''', che altro non è che un coloratore di log molto comodo. Per installarlo:

destination(destination_name);

};  

Vediamo alcuni esempi.

<pre>

source s_all {

};  

</pre>

<pre>

source s_all {

};  

</pre>

<pre>

source s_all {

# Snare Agent, scaricabile da http://www.intersectalliance.com/projects/SnareWindows/index.html

# NTSyslog, scaricabile da http://ntsyslog.sourceforge.net/

Consiglio anche di aumentare la dimensione massima dei file di log di Windows, di default troppo bassa, e di agire su '''Criteri di Protezione Locali''' per abilitare un criterio di auditing un po' più efficace di quello attivo nella configurazione di default.