Keskne logihaldus Rsyslog ja SEC näitel - Revision history

Vrooda: /* Sissejuhatus */

2014-01-17T13:37:05Z

Sissejuhatus

← Older revision		Revision as of 16:37, 17 January 2014
Line 3:		Line 3:
	*Viljar Rooda A31		*Viljar Rooda A31
	= Sissejuhatus =		= Sissejuhatus =
	SEC on vabavaraline sündmuse korrelatsiooni vahend, mida on võimalik ära kasutada logi järelevalve, võrgu-ja julgeolekupoliitika juhtimiseks, pettuste avastamiseks ning mis tahes ~~muud ülesanded~~, mis on seotud sündmuste korrelatsiooniga. SEC'i peamisteks eeliseks võib pidada spetsiifiliste retseptide tegemise (mida kerge reaalajas jälgida). Samuti on SEC'i eelis tema võimalus jälgida mustrid (ehk sarnaste logide korduvusi) ning selle tuvastamisel teha kasutaja poolt defineeritud tegevusi.		SEC on vabavaraline sündmuse korrelatsiooni vahend, mida on võimalik ära kasutada logi järelevalve, võrgu-ja julgeolekupoliitika juhtimiseks, pettuste avastamiseks ning mis tahes muude ülesanneteks, mis on seotud sündmuste korrelatsiooniga. SEC'i peamisteks eeliseks võib pidada spetsiifiliste retseptide tegemise (mida kerge reaalajas jälgida). Samuti on SEC'i eelis tema võimalus jälgida mustrid (ehk sarnaste logide korduvusi) ning selle tuvastamisel teha kasutaja poolt defineeritud tegevusi.
	SEC'i miinusteks võib pidada igapäevast logianalüüsi, kuna seda on väga raske korraldada. Puuduvad statistika ning SEC kasutab peamiselt teavitusmeetodit, siis ei ole mõtet üksikuid sündmusi kogu aeg teavitada. SEC sobib tagataustal jooksva mustrite otsingu ja nendest teavitamise mehanismina.		SEC'i miinusteks võib pidada igapäevast logianalüüsi, kuna seda on väga raske korraldada. Puuduvad statistika ning SEC kasutab peamiselt teavitusmeetodit, siis ei ole mõtet üksikuid sündmusi kogu aeg teavitada. SEC sobib tagataustal jooksva mustrite otsingu ja nendest teavitamise mehanismina.
	SEC'ile on ka alternatiive. Näiteks on Microsofti Log Parser [http://www.microsoft.com/en-us/download/details.aspx?id=24659],Log-Expert[http://www.log-expert.de/] ja Splunk[http://www.splunk.com/].		SEC'ile on ka alternatiive. Näiteks on Microsofti Log Parser [http://www.microsoft.com/en-us/download/details.aspx?id=24659],Log-Expert[http://www.log-expert.de/] ja Splunk[http://www.splunk.com/].

Vrooda: /* Sissejuhatus */

2014-01-17T13:35:37Z

Sissejuhatus

← Older revision		Revision as of 16:35, 17 January 2014
Line 3:		Line 3:
	*Viljar Rooda A31		*Viljar Rooda A31
	= Sissejuhatus =		= Sissejuhatus =
	~~Valisime oma artikli teema lisaks rsyslogile ka~~ SEC'i, ~~kuna tegemist~~ on ~~huvitava logianalüüsi tööriistaga~~. SEC'i peamisteks eeliseks võib pidada spetsiifiliste retseptide tegemise (mida kerge reaalajas jälgida). Samuti on SEC'i eelis tema võimalus jälgida mustrid (ehk sarnaste logide korduvusi) ning selle tuvastamisel teha kasutaja poolt defineeritud tegevusi.		SEC on vabavaraline sündmuse korrelatsiooni vahend, mida on võimalik ära kasutada logi järelevalve, võrgu-ja julgeolekupoliitika juhtimiseks, pettuste avastamiseks ning mis tahes muud ülesanded, mis on seotud sündmuste korrelatsiooniga. SEC'i peamisteks eeliseks võib pidada spetsiifiliste retseptide tegemise (mida kerge reaalajas jälgida). Samuti on SEC'i eelis tema võimalus jälgida mustrid (ehk sarnaste logide korduvusi) ning selle tuvastamisel teha kasutaja poolt defineeritud tegevusi.

	SEC'i miinusteks võib pidada igapäevast logianalüüsi, kuna seda on väga raske korraldada. Puuduvad statistika ning SEC kasutab peamiselt teavitusmeetodit, siis ei ole mõtet üksikuid sündmusi kogu aeg teavitada. SEC sobib tagataustal jooksva mustrite otsingu ja nendest teavitamise mehanismina.		SEC'i miinusteks võib pidada igapäevast logianalüüsi, kuna seda on väga raske korraldada. Puuduvad statistika ning SEC kasutab peamiselt teavitusmeetodit, siis ei ole mõtet üksikuid sündmusi kogu aeg teavitada. SEC sobib tagataustal jooksva mustrite otsingu ja nendest teavitamise mehanismina.

	SEC'ile on ka alternatiive. Näiteks on Microsofti Log Parser [http://www.microsoft.com/en-us/download/details.aspx?id=24659],Log-Expert[http://www.log-expert.de/] ja Splunk[http://www.splunk.com/].		SEC'ile on ka alternatiive. Näiteks on Microsofti Log Parser [http://www.microsoft.com/en-us/download/details.aspx?id=24659],Log-Expert[http://www.log-expert.de/] ja Splunk[http://www.splunk.com/].

Kroom: /* Sissejuhatus */

2014-01-16T20:42:45Z

Sissejuhatus

← Older revision		Revision as of 23:42, 16 January 2014
Line 3:		Line 3:
	*Viljar Rooda A31		*Viljar Rooda A31
	= Sissejuhatus =		= Sissejuhatus =
	Valisime oma artikli teema lisaks rsyslogile ka SEC'i, kuna tegemist on huvitava logianalüüsi tööriistaga. SEC'i peamisteks ~~eelisteks~~ võib pidada spetsiifiliste retseptide tegemise (kerge reaalajas jälgida). Samuti on SEC'i ~~suur~~ eelis tema võimalus jälgida mustrid (ehk sarnaste logide korduvusi) ning selle tuvastamisel teha kasutaja poolt defineeritud tegevusi.		Valisime oma artikli teema lisaks rsyslogile ka SEC'i, kuna tegemist on huvitava logianalüüsi tööriistaga. SEC'i peamisteks eeliseks võib pidada spetsiifiliste retseptide tegemise (mida kerge reaalajas jälgida). Samuti on SEC'i eelis tema võimalus jälgida mustrid (ehk sarnaste logide korduvusi) ning selle tuvastamisel teha kasutaja poolt defineeritud tegevusi.

	SEC'i miinusteks võib pidada igapäevast logianalüüsi, kuna seda on väga raske korraldada. Puuduvad statistika ning SEC kasutab peamiselt teavitusmeetodit, siis ei ole mõtet üksikuid sündmusi kogu aeg teavitada. SEC sobib tagataustal jooksva mustrite otsingu ja nendest teavitamise mehanismina.		SEC'i miinusteks võib pidada igapäevast logianalüüsi, kuna seda on väga raske korraldada. Puuduvad statistika ning SEC kasutab peamiselt teavitusmeetodit, siis ei ole mõtet üksikuid sündmusi kogu aeg teavitada. SEC sobib tagataustal jooksva mustrite otsingu ja nendest teavitamise mehanismina.

Kroom: /* Sissejuhatus */

2014-01-16T20:41:52Z

Sissejuhatus

← Older revision		Revision as of 23:41, 16 January 2014
Line 3:		Line 3:
	*Viljar Rooda A31		*Viljar Rooda A31
	= Sissejuhatus =		= Sissejuhatus =
	~~Miks valisime~~ SEC~~? SEC on huvitav logi analüüsi tööriist~~ kuna ~~talle~~ on ~~voimalik kirjutada spetsiifilisi retsepte mida jälgitakse reaal ajas~~. Samuti SEC suur eelis ~~alternatiivide suhtses on~~ tema võimalus jälgida ~~rohkem kui 1 rida~~ ning ~~lõigu pealt~~ teha ~~otsuseid~~. ~~pakkudes võimalust teha reeglid spetsiifilistele olukordadele~~ ning ~~nende kohane tegevustik~~. ~~Mis~~ on ~~alternatiivid?Alternatiivid mida mina leitsin~~ on Log Parser ~~from Microsoft~~[http://www.microsoft.com/en-us/download/details.aspx?id=24659],Log-Expert[http://www.log-expert.de/],Splunk[http://www.splunk.com/] Mis on eelised ja puudused? Eeliseks on nagu eelpool mainitud lõik jälgimine millega saab luua keerukamaid reegleid. Suur eelis on samuti väga palju võimalusi mida sa saad kirjutada retsepti. Miinuseks võib olla see, et temaga pole mõttet teha igapäevast logi analüüsi vaid selleks pigem kasutada splunk. SEC pakub pigem tagataustal jooksvat teavitus mehanismi.		Valisime oma artikli teema lisaks rsyslogile ka SEC'i, kuna tegemist on huvitava logianalüüsi tööriistaga. SEC'i peamisteks eelisteks võib pidada spetsiifiliste retseptide tegemise (kerge reaalajas jälgida). Samuti on SEC'i suur eelis tema võimalus jälgida mustrid (ehk sarnaste logide korduvusi) ning selle tuvastamisel teha kasutaja poolt defineeritud tegevusi.

			SEC'i miinusteks võib pidada igapäevast logianalüüsi, kuna seda on väga raske korraldada. Puuduvad statistika ning SEC kasutab peamiselt teavitusmeetodit, siis ei ole mõtet üksikuid sündmusi kogu aeg teavitada. SEC sobib tagataustal jooksva mustrite otsingu ja nendest teavitamise mehanismina.

			SEC'ile on ka alternatiive. Näiteks on Microsofti Log Parser [http://www.microsoft.com/en-us/download/details.aspx?id=24659],Log-Expert[http://www.log-expert.de/] ja Splunk[http://www.splunk.com/].

	= Ülesande püstitus =		= Ülesande püstitus =

Vrooda: /* Sissejuhatus */

2014-01-16T12:57:47Z

Sissejuhatus

← Older revision		Revision as of 15:57, 16 January 2014
Line 3:		Line 3:
	*Viljar Rooda A31		*Viljar Rooda A31
	= Sissejuhatus =		= Sissejuhatus =
	Miks valisime SEC? Mis on alternatiivid? Mis on eelised ja puudused?		Miks valisime SEC? SEC on huvitav logi analüüsi tööriist kuna talle on voimalik kirjutada spetsiifilisi retsepte mida jälgitakse reaal ajas. Samuti SEC suur eelis alternatiivide suhtses on tema võimalus jälgida rohkem kui 1 rida ning lõigu pealt teha otsuseid. pakkudes võimalust teha reeglid spetsiifilistele olukordadele ning nende kohane tegevustik. Mis on alternatiivid?Alternatiivid mida mina leitsin on Log Parser from Microsoft[http://www.microsoft.com/en-us/download/details.aspx?id=24659],Log-Expert[http://www.log-expert.de/],Splunk[http://www.splunk.com/] Mis on eelised ja puudused? Eeliseks on nagu eelpool mainitud lõik jälgimine millega saab luua keerukamaid reegleid. Suur eelis on samuti väga palju võimalusi mida sa saad kirjutada retsepti. Miinuseks võib olla see, et temaga pole mõttet teha igapäevast logi analüüsi vaid selleks pigem kasutada splunk. SEC pakub pigem tagataustal jooksvat teavitus mehanismi.

	= Ülesande püstitus =		= Ülesande püstitus =

Kroom: /* Sisse juhatus */

2014-01-16T10:19:56Z

Sisse juhatus

← Older revision		Revision as of 13:19, 16 January 2014
Line 2:		Line 2:
	*Kristjan Rõõm A41		*Kristjan Rõõm A41
	*Viljar Rooda A31		*Viljar Rooda A31
	= ~~Sisse juhatus~~ =		= Sissejuhatus =
	Miks valisime SEC? Mis on alternatiivid? Mis on eelised ja puudused?		Miks valisime SEC? Mis on alternatiivid? Mis on eelised ja puudused?

	= Ülesande püstitus =		= Ülesande püstitus =
	Juhendi eesmärgiks on luua keskne logihaldus Rsyslog ja SEC näitel ning esmane logi seire.		Juhendi eesmärgiks on luua keskne logihaldus Rsyslog ja SEC näitel ning esmane logi seire.

Kroom: /* SEC reegli teine näide */

2014-01-16T10:18:31Z

SEC reegli teine näide

← Older revision		Revision as of 13:18, 16 January 2014
Line 116:		Line 116:
	type=SingleWithThreshold #üks muster		type=SingleWithThreshold #üks muster
	ptype=RegExp		ptype=RegExp
	pattern=puppet-agent\[\d+\]: Puppet client disabled		pattern=puppet-agent(\[\d+\]): Puppet client disabled
	desc=Puppeti klient forced to close by $1		desc=Puppeti klient forced to close PID $1
	action=pipe '%t : %s' /bin/mail 'puppet error' root@localhost # saadetakse mail		action=pipe '%t : %s' /bin/mail 'puppet error' root@localhost # saadetakse mail
	window=3600 #intervall		window=3600 #intervall

Vrooda at 10:01, 16 January 2014

2014-01-16T10:01:06Z

← Older revision		Revision as of 13:01, 16 January 2014
Line 2:		Line 2:
	*Kristjan Rõõm A41		*Kristjan Rõõm A41
	*Viljar Rooda A31		*Viljar Rooda A31
			= Sisse juhatus =
			Miks valisime SEC? Mis on alternatiivid? Mis on eelised ja puudused?
	= Ülesande püstitus =		= Ülesande püstitus =
	Juhendi eesmärgiks on luua keskne logihaldus Rsyslog ja SEC näitel ning esmane logi seire.		Juhendi eesmärgiks on luua keskne logihaldus Rsyslog ja SEC näitel ning esmane logi seire.

Vrooda: /* SEC reegli teine näide */

2014-01-16T09:47:13Z

SEC reegli teine näide

← Older revision		Revision as of 12:47, 16 January 2014
Line 122:		Line 122:
	</source>		</source>

	Kontrollida saab kliendi masinas antud käslusega		Kontrollida saab kliendi masinas antud käslusega[https://wiki.itcollege.ee/index.php/Logger]
	<source lang="bash">		<source lang="bash">
	logger -t puppet-agent -i Puppet client disabled		logger -t puppet-agent -i Puppet client disabled

Kroom: /* Kasutatud kirjandus */

2014-01-16T09:42:29Z

Kasutatud kirjandus

← Older revision		Revision as of 12:42, 16 January 2014
Line 131:		Line 131:

	= Kasutatud kirjandus =		= Kasutatud kirjandus =
	http://www.thegeekstuff.com/2012/01/rsyslog-remote-logging/ <br/>		1. http://www.thegeekstuff.com/2012/01/rsyslog-remote-logging/ <br/>
	http://~~www~~.~~occam~~.~~com~~/sa/~~CentralizedLogging2012~~.~~pdf~~ <br/>		2. http://simple-evcorr.sourceforge.net/SEC-tutorial/article.html <br/>
	http://~~simple-evcorr~~.~~sourceforge~~.~~net~~/~~SEC-tutorial~~/~~article~~.~~html~~		3. http://www.occam.com/sa/CentralizedLogging2012.pdf