Syslog-ng ja vahendid. Tanel Rõigas

Transcription

1 Syslog-ng ja vahendid Tanel Rõigas

2 1. Syslog-ng 2. Allikad ja sihtkohad 3. TLS 4. Logipõhine ründetõrje

3 Traditsiiooniline syslog ja syslog-ng RFC 3164 on nüüdseks legacy-syslog Uus RFC 5424 ehk IETF syslog Olulisemad: võimalus ühendus autentida ja krüpteerida; Oluliselt paindlikum; TCP tugi

4 Syslog-ng definitsioonid source määrab logikirjete allika destination määrab, kuhu kirjed saadetakse filter kirjeldab töötlemisfiltri template kirjeldab kirje vormingu log kirjeldab eelnevatel põhineva logimisprotseduuri source s_local { unix-stream("/dev/log"); internal(); }; destination d_file_normal {file("/var/log/mysyslog-ng.log"); }; log { source(s_local); destination(d_file); };

5 Allikad Syslog-ng allikaks võib olla - fail, nt /proc/kmsg - Internal (syslog-ng) - TCP või UDP, syslogi vormingus teated - IETF vormingus syslogi teated TLS, TCP või UDP Võivad sisaldada näiteks ip aadressi, porti, socketi omanikku, socketi mahtu jne

6 Allikad loeme kohalikest allikatest (kernel ja muud) source local { file ("/proc/kmsg"); unixstream("/dev/log"); }; loeme BSD vormingus vaikepordist kõigil liidestel (vaikeport 514, vaikeprotokoll udp) source standard { udp(); }; loeme IETF vormingus kõigil liidestel, defineerime pordi ja protokolli source ietfmsg { syslog(ip( ) port(8514) transport(udp)); };

7 Sihtkohad file(fname [options]) kirjutatakse faili program(command [options]) saadetakse programmile command sisendisse.kui programm käib, restardib syslog-ng selle. tcp(host [options]), udp(host [options]) saadetakse BSD syslogi formaadis host-ile kas TCP või UDP protokolliga syslog(host [options]) saadetakse IETF syslog vormingus host-ile TLS kihis, TCP või UDP protokolliga

8

9 TLS genereerime võtmed CA s: openssl genrsa -out key.pem 2048 openssl req -new -x509 -key key.pem -out cert.pem -days 365

10 TLS Kliendi poolel kopeerime sertifikaadi vastavasse kataloogi, eemaldame sellest räsi ja loome sümboolse lingi, millel on.0 laiend cp cert.pem /usr/local/etc/syslog-ng/ca cd /usr/local/etc/syslog-ng/ca openssl x509 -noout -hash -in cert.pem <hash> ln -s cert.pem <hash>.0

11

12 Kliendipoolne seadistus IETF vormingus sertifikaadi kontrolliga : destination tlsserver { syslog(" " transport(tls) port(6666) tls(peer-verify(required-trusted) ca_dir("/usr/local/etc/syslog-ng/ca") )); };

13 Serveripoolne seadistus Server võtab vastu sertifikaadipõhiselt, autentimata source tlsmsg { syslog(ip( ) transport(tls) port(6666) tls(peer-verify(optional-untrusted) key_file("/usr/local/etc/syslog-ng/ssl/key.pem") cert_file("/usr/local/etc/syslog-ng/ssl/cert.pem") )); };

14 Mallid ja makrod Syslog-ng võib luua failinimesid, katalooge või andmebaasi tabelinimesid, kasutades makrosid, mis aitavad logisid organiseerida Makrod viitavad logikirje või selle osa omadusele Näide: makro $HOST viitab logi saatva kliendi nimele või IP aadressile Näide: $DAY on logikirje saabumise päev. Makrode kasutamine võimaldab näiteks erinevatelt klientidelt tulevaid logisid hoida iga päeva kohta eraldi failis

15 Mallid ja makrod Logist võetavad - BSDTAG, CONTEXT_ID, DATE, DAY, FACILITY_NUM, FACILITY, FULLDATE, HOUR, ISODATE, LEVEL_NUM, LEVEL, MIN, MONTH_ABBREV, MONTH_NAME, MONTH, MONTH_WEEK, PRIORITY, PRI, SDATA, SEC, SEQNUM, SOURCEIP, STAMP, TAG, TAGS, TZOFFSET, TZ, UNIXTIME, WEEK_DAY_ABBREV, WEEK_DAY_NAME, WEEK_DAY, WEEK, YEAR_DAY, YEAR Neid ei saa kohandada, nn. hard macro, väärtus pärineb logikirjest

16 Mallid ja makrod Muudetavad: FULLHOST_FROM, FULLHOST, HOST_FROM, HOST, LEGACY_MSGHDR, MESSAGE, MSG,MSGID, MSGONLY, PID, PROGRAM, SOURCE Nende väärtust võib modifitseerida, nn. soft macro Mõlemat tüüpi makrosid kasutatakse filtrites, soft makro väärtuse võib filtris, või CSV-parser is muuta ja seejärel muudetuna edastada

17 Makrode kasutus destination all { file("/var/log/$year/$month/$day/syslog-ng.log" template("$date $HOST $MSGHDR$MSG ${.SDATA.origin.ip}\n") create_dirs(yes) dir_perm(0700) log_fifo_size(10000) ); };

18 Filtrid Filter piirab logimist kirje kirjutatakse logisse vaid siis, kui vastab filtrile Süntaks : filter <identifier> { <filter_type>("<filter_expression>"); };

19 Filtrid filter demo_filter { host("example1") or host("example2"); }; log demo_filteredlog { source(s1); source(s2); filter(demo_filter); destination(d1); destination(d2); }; Operaatorid and, or, not

20

21 Kas rünnakut saab ära tunda ja selle tõrjet automatiseerida? Swatch hoiatus i Kriteeriumi järgi blokeerimine fail2ban, Debiani repositooriumis, ; lihtsalt seadistatav ja efektiivne logifailide käigupealt analüsaator DenyHosts

22

23 Tänan Teid! Koolitused ja infopäevad toimuvad EL sf programmi Infoühiskonna teadlikkuse tõstmine raames, mida rahastab Euroopa Regionaalarengu Fond. Projekti tellija on Riigi Infosüsteemi Amet ja projekti aitab läbi viia BCS Koolitus AS.