Graylog2
Autor
Henri Rindesalu AK21 henri.rindesalu@itcollege.ee
Sissejuhatus
Graylog2 on avaliku koodiga tarkvara, mis kogub logisid ja kuvab neid kasutajasõbralikul moel. Graylog koosneb neljast osast: Serverist, mis on kirjutatud Java's, mis võtab vastu syslogi sõnumeid üle TCP või UDP ja hoiab neid mongoDB andmebaasis. Teine osa on Ruby on Rails veebiliides, läbi mille saab logisid lugeda ja analüüsida. Kolmas osa on ElasticSearch, mis pakub otsingut ja analüütikat. Ning neljas on juba eelpool mainitud MongoDB.
Kasutajatugi
GrayLog2 veebilehel on piisavalt dokumentatsiooni, et süsteemi tundma õppida. Samuti saab küsida nõu kommuunist, anda teada vigadest, liituda meililistiga ning IRC kanaliga. http://graylog2.org/support
Graylogile saab ka tasulist tuge, mida pakub Torch
Paigaldamine
Graylog2 käsitsi paigaldus on üsna keeruline ning aeganõudev. Aja säästmiseks kasutame skripti.
Eeldused
Antud juhendi toimiseks peavad olema täidetud järgnevad eeldused:
Server: Ubuntu Server 12.04 X64 või 12.10 X64
Minimaalne mälu maht: sõltub andmebaasi suurusest. Mälu peaks olema vähemalt sama palju, kui suur on andmebaas
Minimaalne kõvaketta suurus: 5 GB
Võrk: interneti olemasolu vajalik, DNS peab olema seadistatud.
Lisatarkvara:
- Apache
- Ruby
- Git
Paigaldusdetailid
1. Võtame terminali lahti juurkasutajana.
sudo -i
2. Paigaldame Git'i .
apt-get -y install git
3. Tekitame Git klooni
git clone https://github.com/mrlesmithjr/graylog2/
4. Muudame githubist saadud skripti käivitatavaks
chmod +x ./graylog2/install_graylog2_ubuntu.sh
5. Et muuta paigaldatava serveri IP aadressi, tuleb skripti muuta. Vaikimisi tunneb skript serveri IP aadressi ise ära. Faili muutmiseks avame selle tekstiredaktoriga.
nano ./graylog2/install_graylog2_ubuntu.sh
6. Kui skript on meelepärane, käivitame selle.
./graylog2/install_graylog2_ubuntu.sh
7. Graylog2 koos kõige vajalikuga on paigaldatud
Mine brauseriga aadressile http://<serveriIP>/ ja tekita endale esialgne konto.
Edasised seadistused
Logide kogumine Windowsi masinatest
Selleks, et Graylog saaks logisid Windowsi masinatest, tuleb paigaldada monitooritavatesse arvutitesse klient, mis logisid välja saadab. Nt. nxlog.
1. Laeme alla nxlogi msi paki. http://sourceforge.net/projects/nxlog-ce/files/
2. Paigaldame paki monitooritavale masinale.
3. Liigume kausta: C:\Program Files (x86)\nxlog\conf
4. Avame faili nxlog.conf
5. Määrame ära Graylog2 serveri IP aadressi ja syslogi pordi.
<Output out> Module om_tcp Host serveri.ip.aadress.siia Port pordinumber </Output>
6. Veendu, et teenus nimega nxlog töötab.
Selleks mine Windowsis computer management. Vt. Pilt1
7. Mõne minuti pärast hakkab client Windowsi event logi Graylogi serverisse saatma
Kokkuvõtteks
Graylog2 on äärmiselt efektiivne logide analüüsimise ja kuvamise süsteem. Logisid saab saata kõikidelt seadmetelt, mis toetavad syslogi. Probleemiks võib osutuda meeletu info kogus, mis logiserverile saadetakse, kuna esialgse seadistusena võetakse kõik vastu. Seega peab vaeva nägema ja vastavad filtrid tekitama, et olulist infot ebaolulisest eristada.
