Keskse logihalduse süsteem Splunk baasil

From ICO wiki
Revision as of 15:49, 10 January 2014 by Vvirk (talk | contribs)

Labor 2 - Keskse logihalduse süsteem Splunk baasil

Autor: Veiko Virk

A31

10.01.2014

Õppeaine : Linuxi administreerimine

Ülesande püstitus

Luua kohalikus võrgus keskne logide haldamise süsteem, kasutades kahte masinat (server; klient)


File:Spunkstruktuur.JPG

Kasutatud tarkvara

Server : Ubuntu Server 64bit, versioon: 12.04 Saadab logisi läbi rsyslog tarkvara

Klient : Ubuntu client 64bit, versioon 13.04 Platvorm mille peal Splunk töötab

Splunk 6.0.1 - võtab vastu ja töötleb logisi


Protokoll

Serveri ja kliendi algsed seaded antu näite puhul

Klient: Nimi - desktop IP - Staatiline 192.168.56.101

Server: Nimi - Ubuntu IP - Staatiline 192.168.56.200 Mõlemal virtuaalmasinal on kasutatud eelnevalt eksporditud ubuntu Client/Server .OAV tõmmist (image). Tarkvara on pärit IT Kolledži Elab keskkonnast.

Järgevalt eeldab autor, et paigaldatud server ja klient suudavad omavahel suhelda.

Splunk paigaldus

Järgnevad tegevused tehakse Klient arvutis nimega desktop.

Paigalduse alustamiseks tuleb allalaadida Splunk tarkvara. Juhendis on kasutatud Splunk 6.0.1 Linuxi 64bit versiooni. Tarkvara saab alla laadida siit: [1]



Splunkdownload.JPG


Peale faili allalaadimist tuleb paigalduspakett paigaldada, selleks kasutada käsku:

sudo dpkg -i /home/student/Downloads/splunker/splunk-6.0.1-189883-linux-2.6-amd64.deb

Antud näite puhul asetseb paigalduspakett /home/student/Downloads/splunker/ alamkatalogis.

Splunk tarkvara paigaldamiseks kasutada käsku:

sudo /opt/splunk/bin/splunk start

Peale paigaldust kuvatakse kasutajale Splunk veebiliidese asukoht. Antud näite puhul on selleks http://desktop:8000



Splunkfin.JPG


Vaikimisi peaks Splunk töötama portidel 8000 ja 8089. Antud väite kindlastegemisel kasutame käsku:

netstat -antp | grep -E '8000|8089'


Portcheck.JPG


Järgmiseks anname portidele 8000 ja 8089 tulemüüri läbimisõigused. Kasutame käske:

sudo iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8000 -j ACCEPT
sudo iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8089 -j ACCEPT


Iptables.JPG


Jägnevalt tuleb teha tülemüüri rakendusele taaskäivitus.

sudo service ufw restart


Iptablesrestart.JPG


Viimaks tuleb vaadata, kas uued reeglid on aktiivsed. Selleks kasutame käsku:

iptables -L -n | grep -E '8000|8089'



Iptablescheck.JPG


Splunk veebiliidese paigaldus

Järgnevalt kasutame veebilehitsejat. Liigume aadressile http://192.168.56.101:8000 Algselt on kasutajatunnuseks admin ja parooliks changeme.

Peale sisselogimist kohustab programm parooli vahetama. Antud näites on kasutajatunnuseks: admin ja parooliks student.



Splunkweb.JPG


Õnnestunud sisselogimisel kuvatakse kasutajale splunk veebiportaali.

Avanenud aknas vajutame nupule "Add data".



Addnupp.JPG


Järgnevast menüüst vajutame valikul "Syslog"



Adddata.JPG


Järgenevast valikust valime "Consume syslog over TCP" ja vajutame nupule "next"



Syslogovertcp.JPG


Avanevas aknas tuleb täita järgnevad väljad: TCP port - 514 Select source type from list - syslog

More settings Set host - IP

ja vajutada nupule "Save"

Syslogconf1.JPG



Syslogconf2.JPG

Eduka salvestamise puhul peaks kasutaja nägema järgmist pilti:


Syslogsuccess.JPG

Järgnevalt tuleb tagasi minna Splunk serveri juurde (masin kuhu Splunk paigaldati).

Juhul kui veebiliideses sai kõik korrektselt sisestatud, peaks splunk kuulama 514 porti.

netstat -antp | grep 514


Splunknenstatgrep.JPG

Viimas lisame pordile 514 tulemüüri läbipääsu reegli ja teeme tulemüüri rakendusele taaskäivituse.

sudo iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 514 -j ACCEPT

sudo service ufw restart


Port514plusrestart.JPG

Paigaldame Rsyslogi saatma logisi Splunk serverile

Järgnevad tegevused tuimuvad Serveris nimega Ubuntu.

Selleks, et Rsyslog saadaks Klient arvutile logisi tuleb muuta rsyslog konfiguratsioonifail.

Muudame faili /etc/rsyslog.conf

sudo nano /etc/rsyslog.conf

Lisame rsyslog faili lõppu järgneva rea:

*.* @@192.168.56.101:514

Peale muudatuste tegemist tuleb rsyslog rakendusele teha taaskäivitus.

sudo service rsyslog restart