Configurare un server Syslog su Debian Squeeze: differenze tra le versioni

== Introduzione ==

In una serverfarm, ma anche in una piccola rete casalinga, può risultare molto utile riunire i log di tutte le macchine in un unico posto. Si possono in questo modo applicare funzioni di analisi, ricerca e statistica che, in un unico intervento, restituiranno lo stato di tutte le macchine della rete, e sarà inoltre possibile configurare un unico strumento per inviare messaggi di alert quando lo stato di una qualsiasi delle macchine monitorate subisce un'alterazione potenzialmente pericolosa.<br/>

== Installazione di rsyslog ==

# Le connessioni possono essere stabilite via TCP al posto di UDP

# I log tra host rsyslog possono essere inviati crittati

# I log possono essere filtrati in base alla criticità del loro contenuto

<pre>

# apt-get install rsyslog

514/tcp  open  shell

3306/tcp  open  mysql

</pre>

== Installazione di LogAnalyzer 3.x ==

http://loganalyzer.adiscon.com/ .<br/>

La sua installazione procede essenzialmente in maniera identica a quella di phpLogCon, ma in questo paragrafo esamineremo anche l'utilizzo di un database MySQL di appoggio. Si scarichi innanzitutto la versione più aggiornata dal sito ufficiale: http://www.loganalyzer.adiscon.com/downloads.<br/>

# mv /var/www/src /var/www/loganalyzer

</pre>

* Nome database: ''loganalyzer''

* Nome utente database: ''loganalyzer''

Per installare Splunk, dopo aver scaricato il pacchetto .deb per la nostra architettura spostiamoci nella directory di download e diamo i comandi:

<pre>

</pre>

dove <code>package_name</code> corrisponde al numero di versione del pacchetto scaricato.<br>

Per avviare Splunk per la prima volta diamo il comando:

<pre>

</pre>

(potete trovare il testo della licenza qui: <code>/opt/splunk/license-eula.txt</code>).<br>

stop)  echo "Stopping Splunk demon"

         /opt/splunk/bin/splunk stop

restart) echo "Non ancora implementato"

         ;;

reload|force-reload) echo "Non ancora implementato"

         ;;

         exit 2

         ;;

== Configurazione di logrotate ==

Per installare logrotate su Debian:

<pre>

** <code>include <file o directory></code>: legge il file oppure tutti i file della directory indicata ed applica le direttive incontrate all'interno di essi. È possibile trovare include <code>/etc/logrotate.d</code> in quanto alcuni pacchetti installano le proprie istruzioni in questa directory;

* '''Operazioni Pre-log e Post-log'''

** <code>prerotate endscript</code>: tramite questo blocco di direttive è possibile eseguire delle operazioni prima che avvenga la rotazione e solo se questa avrà luogo.

A titolo di esempio possiamo osservare la directory del web server Apache2 su un sistema in cui logrotate è in funzione, <code>/var/log/apache2</code>

error.log.5.gz

</pre>

# la directory di configurazione <code>/etc/logrotate.d</code>

Questa directory contiene i file di configurazione per i servizi installati sul server. Per esempio sul server esaminato in precedenza troveremo il file <code>/etc/logrotate.d/apache2</code>.<br/>

Analizziamolo nel dettaglio:

# <code>/var/log/apache2/*.log</code>: indica i file che vengono interessati dal processo;

# <code>rotate nn</code>: saranno conservati non più di <code>nn</code> file;

# <code>compress</code>: i file saranno compressi con gzip. Alternativa: <code>nocompress</code>;

# <code>delaycompress</code>: non comprime i log del giorno prima;

# <code>notifempty</code>: non esegue la rotazione se il file è vuoto. Alternativa: <code>ifempty</code>;

# <code>sharedscripts</code>: esegue ogni script di prerotate o postrotate su ogni file. Alternativa: <code>nosharedscripts</code>;

# <code>postrotate + endscript</code>: ogni cosa tra queste due voci viene eseguita dopo il processo di rotazione. Alternativa: <code>prerotate</code>.

* ''Print = No'' Se settato a Yes, l'output di logwatch viene visualizzato a schermo invece di essere inviato via mail

* ''# Save = /tmp/logwatch'' Se impostato, l'output viene salvato sul file indicato invece di essere inviato via mail

* ''Service = All'' Definisce per quali servizi verificare i log. Può essere "All" o uno o più servizi, da scrivere su più righe, come "pam_pwdb" e "ftpd-messages"

* ''# LogFile = messages'' Specifica un singolo file di log da analizzare. Se "Service = All" vengono comunque analizzati tutti i log

logwatch --save logwatch.txt --range Today

</pre>

<br/>

Se desiderate ricevere le email di logwatch anche su un indirizzo di posta elettronico esterno al sistema da monitorare, modificate il file <code>/etc/aliases</code> come segue:

Non dimenticate, alla fine delle modifiche, di lanciare il comando:

<pre>

</pre>

=== Altri programmi utili ===

Se invece amate avere sott'occhio i log in un terminale, potreste trovare utile il pacchetto '''ccze''', che altro non è che un coloratore di log molto comodo. Per installarlo:

filter(filter_name);

destination(destination_name);

</pre>.

Vediamo alcuni esempi.

};

log

source(s_all);

destination(d1);

</pre>

# Viene utilizzato un filtro per inviare al syslog server solo i messaggi di livello '''alert''' e '''error''' generati da '''kernel facility'''. Come si può notare, per l'invio dei log viene utilizzato questa volta il protocollo TCP:

};

log

filter(filter1);

destination(d1);

</pre>

Affinché tutto funzioni non dobbiamo dimenticarci di istruire il server syslog affinché si ponga in ascolto anche sulla porta TCP specificata. Modifichiamo perciò il file di configurazione del server, <code>'''/etc/syslog-ng/syslog-ng.conf'''</code>:

udp();

tcp(port(54321));

</pre>

=== Client Windows ===

# Snare Agent, scaricabile da http://www.intersectalliance.com/projects/SnareWindows/index.html

Consiglio anche di aumentare la dimensione massima dei file di log di Windows, di default troppo bassa, e di agire su '''Criteri di Protezione Locali''' per abilitare un criterio di auditing un po' più efficace di quello attivo nella configurazione di default.

[[Categoria:Monitoraggio]]

[[Categoria:Altri servizi di rete]]