Contenido
Introducción
syslog
syslog-ng
php-syslogng
swatch
Introducción
Los logs son la principal fuente de información acerca de la actividad de la red y los sistemas
Esenciales para:
Detección de ataques e intrusos
Detección de problemas de hardware/software
Análisis forense de sistemas
La clave de la monitorización pasiva es la centralización de los mensajes
Servidor Log Central
Syslog
Syslog provee un servicio estándar y de mensajes
Por qué estándar:
Una interfaz API para aplicaciones (y el sistema operativo)?
Define niveles de severidad y agrupaciones de mensajes por tipo
Por qué distribuido
Cliente/Servidor
Local o remoto
Niveles Syslog
LOG_EMERG Sistema en estado inútil
LOG_ALERT Se requiere acción inmediata
LOG_CRIT Condiciones críticas
LOG_ERR Condiciones de Error
LOG_WARNING Condiciones de precaución
LOG_NOTICE Condición normal, pero significativa
LOG_INFO Mensaje informativo
LOG_DEBUG Mensaje de depuración
Grupos Syslog (Facilities)?
LOG_AUTH Mensajes de seguridad/autenticación (descontinuado)?
LOG_AUTHPRIV Mensajes de seguridad/autenticación (privado)?
LOG_CRON Servicio CRON
LOG_DAEMON Daemons del sistema
LOG_FTP Daemon FTP
LOG_KERN Mensajes del Kernel
LOG_LOCAL[0-7] Reservados para uso local
LOG_LPR Sub-sistema de impresión
LOG_MAIL Sub-sistema de correo
LOG_NEWS Sub-sistema de noticias USENET
LOG_SYSLOG Mensajes generados internamente por Syslogd
LOG_USER (default) Mensajes de nivel de usuario genéricos
LOG_UUCP Sub-sistema UUCP
Configuración de cliente syslog
/etc/syslog.conf
< facility>.< nivel>[,…] < path/to/logfile>|< @remote server>
Comodines:
* = todos
none = ninguno
*.info,mail.none /var/log/messages
mail.* /var/log/maillog
*.* @192.168.0.10
syslog-ng
ng = nueva generación
Tiene varias ventajas sobre el syslog tradicional
Transporte UDP y TCP
Filtrado basado en el contenido de los mensajes
Soporte para cifrado
Puede ejecutarse bajo un entorno chroot
Usar syslog-ng en el servidor central
Configuración syslog-ng
/etc/syslog-ng.conf
Consta de
Opciones globales
Fuentes (Sources)?
Destinos (Destinations)?
Filtros (Filters)?
Fuentes, Filtros y Destinos se conectan con comandos 'log'
Opciones globales en syslog-ng
options {
create_dirs (yes); # Crear subdirectorios
dir_perm(0755); # Permisos para los directorios creados
use_dns(yes);
dns_cache(yes); # Hacer caching de DNS
keep_hostname(yes); # Usar el nombre de host en el mensaje
use_fqdn(yes); # Usar nombre DNS completo
perm(0644); # Permisos para los archivos creados
sync(0); # Número de líneas en búfer antes de escribir
};
Fuentes en syslog-ng
Determinan de dónde se sacan los mensajes.
Los métodos de obtención se llaman Sourcedrivers:
file, unix-dgram, unix-stream, udp, tcp
source s_udp { udp (ip(0.0.0.0) port(514)); };
Destinos en syslog-ng
Determinan dónde se van a enviar los mensajes
Los mismos métodos que en la fuente + usertty
destination allbyhostfile { file("/log/hosts/$HOST/$FACILITY.$PRIORITY"
owner(root) group(root) perm(0644) dir_perm(0755) create_dirs(yes));
};
destination ciscofile { file("/log/cisco"
owner(root) group(root) perm(0644) dir_perm(0755) create_dirs(yes));
};
Página siguiente  |