Graylog2

Autor

Henri Rindesalu AK21 henri.rindesalu@itcollege.ee

Sissejuhatus

Graylog2 on avaliku koodiga tarkvara, mis kogub logisid ja kuvab neid kasutajasõbralikul moel. Graylog koosneb neljast osast: Serverist, mis on kirjutatud Java's, mis võtab vastu syslogi sõnumeid üle TCP või UDP ja hoiab neid mongoDB andmebaasis. Teine osa on Ruby on Rails veebiliides, läbi mille saab logisid lugeda ja analüüsida. Kolmas osa on ElasticSearch, mis pakub otsingut ja analüütikat. Ning neljas on juba eelpool mainitud MongoDB.

Kasutajatugi

GrayLog2 veebilehel on piisavalt dokumentatsiooni, et süsteemi tundma õppida. Samuti saab küsida nõu kommuunist, anda teada vigadest, liituda meililistiga ning IRC kanaliga. http://graylog2.org/support

Graylogile saab ka tasulist tuge, mida pakub Torch

Paigaldamine

Graylog2 käsitsi paigaldus on üsna keeruline ning aeganõudev. Aja säästmiseks kasutame skripti.

Eeldused

Antud juhendi toimiseks peavad olema täidetud järgnevad eeldused:

Server: Ubuntu Server 12.04 X64 või 12.10 X64
Minimaalne mälu maht: sõltub andmebaasi suurusest. Mälu peaks olema vähemalt sama palju, kui suur on andmebaas
Minimaalne kõvaketta suurus: 5 GB
Võrk: interneti olemasolu vajalik, DNS peab olema seadistatud.

Lisatarkvara:

• Apache
• Ruby
• Git

Paigaldusdetailid

1. Võtame terminali lahti juurkasutajana.

 sudo -i

2. Paigaldame Git'i .

 apt-get -y install git

3. Tekitame Git klooni

 git clone https://github.com/mrlesmithjr/graylog2/

4. Muudame githubist saadud skripti käivitatavaks

 chmod +x ./graylog2/install_graylog2_ubuntu.sh

5. Et muuta paigaldatava serveri IP aadressi, tuleb skripti muuta. Vaikimisi tunneb skript serveri IP aadressi ise ära. Faili muutmiseks avame selle tekstiredaktoriga.

 nano ./graylog2/install_graylog2_ubuntu.sh

6. Kui skript on meelepärane, käivitame selle.

 ./graylog2/install_graylog2_ubuntu.sh

7. Graylog2 koos kõige vajalikuga on paigaldatud

Mine brauseriga aadressile http://<serveriIP>/ ja tekita endale esialgne konto.

Edasised seadistused

Logide kogumine Windowsi masinatest

Selleks, et Graylog saaks logisid Windowsi masinatest, tuleb paigaldada monitooritavatesse arvutitesse klient, mis logisid välja saadab. Nt. nxlog.

1. Laeme alla nxlogi msi paki. http://sourceforge.net/projects/nxlog-ce/files/

2. Paigaldame paki monitooritavale masinale.

3. Liigume kausta: C:\Program Files (x86)\nxlog\conf

4. Avame faili nxlog.conf

5. Määrame ära Graylog2 serveri IP aadressi ja syslogi pordi.

<Output out>
   Module      om_tcp
   Host        serveri.ip.aadress.siia
   Port        pordinumber
</Output>

6. Veendu, et teenus nimega nxlog töötab.

7. Mõne minuti pärast hakkab client Windowsi event logi Graylogi serverisse saatma

Lingid

1. http://graylog2.org/
2. https://github.com/mrlesmithjr/graylog2
3. http://www.mongodb.org/
4. http://www.elasticsearch.org/
5. http://imcol.in/tag/graylog2/

Kokkuvõtteks

Graylog2 on äärmiselt efektiivne logide analüüsimise ja kuvamise süsteem. Logisid saab saata kõikidelt seadmetelt, mis toetavad syslogi. Probleemiks võib osutuda meeletu info kogus, mis logiserverile saadetakse, kuna esialgse seadistusena võetakse kõik vastu. Seega peab vaeva nägema ja vastavad filtrid tekitama, et olulist infot ebaolulisest eristada.