Ce tutoriel explique comment configurer rsyslog en tant que serveur de gestion centralisée des journaux. La gestion centralisée des journaux consiste à collecter toutes sortes de journaux à partir de plusieurs serveurs physiques ou virtualisés sur un seul serveur de journaux pour surveiller la santé et la sécurité des services du serveur. Nous utilisons rsyslog dans ce tutoriel car il offre des performances élevées, une grande sécurité et une conception modulaire. Il est également capable de stocker des journaux dans de nombreuses solutions de base de données telles que MySQL, Oracle, Hadoop et autres pour une meilleure consolidation.
1. Remarque préliminaire
Pour ce tutoriel, j'utilise Oracle Linux 6.4 dans la version 32 bits. Veuillez noter que même si la configuration est effectuée sous Oracle Linux, les mêmes étapes fonctionneront sous CentOS et Red Hat OS Linux. Dans ce tutoriel, nous utiliserons 2 serveurs. Le premier agira en tant que serveur rsyslog et l'autre agira en tant que poste de travail/serveur client pour le client rsyslog. À la fin de ce didacticiel, nous verrons qu'une fois qu'un utilisateur se connecte au serveur client, le serveur rsyslog enregistrera automatiquement l'activité qu'il a effectuée.
2. Installation de Rsyslog
Pour la phase d'installation, nous n'avons besoin que des packages rsyslog et de ses dépendances installés. Tout d'abord, confirmons notre version du système d'exploitation.
[[email protected] ~]# cat /etc/issue
Oracle Linux Server version 6.4
Kernel \r sur un \m
[[email protected] ~]# arch
i686
[[email protected] ~]# uname -a
Linux RSYS01 2.6.32-358.el6.i686 #1 SMP Ven 22 février 13:37:29 PST 2013 i686 i686 i386 GNU/Linux
Ensuite, je vais configurer un nouveau référentiel pour installer les packages rsyslog via l'utilitaire yum.
[[email protected] ~]# cd /etc/yum.repos.d/
[[email protected] yum.repos.d]# vi rsyslog.repo
[ rsyslog-v7-devel]
name=Adiscon Rsyslog v7-devel for CentOS-$releasever-$basearch
baseurl=http://rpms.adiscon.com/v7-devel/epel-$releasever/ $basearch
enabled=0
gpgcheck=0
protect=1[rsyslog-v7-stable]
name=Adiscon Rsyslog v7-stable pour CentOS-$releasever-$basearch
baseurl=http://rpms.adiscon.com/v7-stable/epel -$releasever/$basearch
enabled=1
gpgcheck=0
protect=1
[[email protected] yum.repos.d]# yum list rsyslog
Plugins chargés :refresh-packagekit, security
rsyslog-v7-stable | 2,5 Ko 00:00
rsyslog-v7-stable/primary_db | 188 Ko 00:01
Packages disponibles
rsyslog.i686 7.6.7-1.el6 rsyslog-v7-stable
Terminé, commençons maintenant à installer la nouvelle version de rsyslog. Les étapes sont indiquées ci-dessous :
[[email protected] yum.repos.d]# yum install rsyslog -y
Plugins chargés :refresh-packagekit, security
Configuration du processus d'installation
Résolution des dépendances
--> Exécution de la vérification des transactions
---> Le package rsyslog.i686 0:7.6.7-1.el6 sera installé
--> Dépendance de traitement :liblogging-stdlog.so. 0 pour le package :rsyslog-7.6.7-1.el6.i686
--> Dépendance de traitement :libjson-c.so.2 pour le package :rsyslog-7.6.7-1.el6.i686
--> Dépendance de traitement :libgthttp.so.0 pour le package :rsyslog-7.6.7-1.el6.i686
--> Dépendance de traitement :libgtbase.so.0 pour le package :rsyslog-7.6.7-1 .el6.i686
--> Dépendance de traitement :libgt pour le package :rsyslog-7.6.7-1.el6.i686
--> Dépendance de traitement :libestr.so.0 pour le package :rsyslog-7.6 .7-1.el6.i686
--> Exécution de la vérification des transactions
---> Le package json-c.i686 0:0.11-3.el6 sera installé
---> Le package libestr.i686 0:0.1.9-1.el6 sera installé
---> Le package libgt.i686 0:0.3.11-1.el6 sera installé ed
---> Le package liblogging.i686 0:1.0.4-1.el6 sera installé
--> Résolution des dépendances terminée
Dépendances résolues
=============================================================================================================
Taille du référentiel de la version de l'architecture des packages
=============================================================================================================
Installation :
rsyslog i686 7.6.7-1.el6 rsyslog -v7-stable 920 k
Installation pour les dépendances :
json-c i686 0.11-3.el6 rsyslog-v7-stable 46 k
libestr i686 0.1.9-1.el6 rsyslog-v7 -stable 9.0 k
libgt i686 0.3.11-1.el6 rsyslog-v7-stable 55 k
liblogging i686 1.0.4-1.el6 rsyslog-v7-stable 23 k
Résumé des transactions
============================================================================================================
Installer 5 package(s)
Taille totale de téléchargement :1,0 M
Taille installée :3,2 M
Téléchargement de packages :
(1/5) :json-c-0.11-3.el6.i686.rpm | 46 Ko 00:00
(2/5) :libestr-0.1.9-1.el6.i686.rpm | 9.0 Ko 00:00
(3/5) :libgt-0.3.11-1.el6.i686.rpm | 55 Ko 00:00
(4/5) :liblogging-1.0.4-1.el6.i686.rpm | 23 Ko 00:00
(5/5) :rsyslog-7.6.7-1.el6.i686.rpm | 920 Ko 00:03
-------------------------------------------------- -------------------------------------------------- --------------------
Total 114 Ko/s | 1.0 Mo 00:09
Exécution de rpm_check_debug
Exécution du test de transaction
Test de transaction réussi
Exécution de la transaction
Installation :libgt-0.3.11-1.el6.i686 1/ 5
Installation :liblogging-1.0.4-1.el6.i686 2/5
Installation :libestr-0.1.9-1.el6.i686 3/5
Installation :json-c -0.11-3.el6.i686 4/5
Installation :rsyslog-7.6.7-1.el6.i686 5/5
Vérification :json-c-0.11-3.el6.i686 1/ 5
Vérification :libestr-0.1.9-1.el6.i686 2/5
Vérification :liblogging-1.0.4-1.el6.i686 3/5
Vérification :libgt-0.3 .11-1.el6.i686 4/5
Vérification :rsyslog-7.6.7-1.el6.i686 5/5
Installé :
rsyslog.i686 0 :7.6.7-1.el6
Dépendance installée :
json-c.i686 0:0.11-3.el6 libestr.i686 0:0.1.9-1.el6 libgt.i686 0 :0.3.11-1.el6 liblogging.i686 0:1.0.4-1.el6
Complet !
[[email protected] yum.repos.d]# rsyslogd -v
rsyslogd 7.6.7, compilé avec :
FEATURE_REGEXP :oui
GSSAPI Kerberos 5 compatible :oui
FEATURE_DEBUG (version de débogage, code lent) :non
Opérations atomiques 32 bits prises en charge :oui
Opérations atomiques 64 bits prises en charge :oui
Instrumentation d'exécution (code lent) :non
prise en charge d'uuid :Oui
Nombre de bits dans les entiers RainerScript :64
Voir http://www.rsyslog.com pour plus d'informations.
[[email protected] ~]# rpm -qa|grep rsyslog
rsyslog-7.6.7-1.el6.i686
Passons ensuite à la phase d'installation. Pour ce tutoriel, nous allons ignorer la couche de sécurité pour simplifier les choses. Nous désactiverons SELINUX pour nous assurer qu'il n'y a pas d'augmentation de sécurité liée à un problème en cours de route. Sachez que vous ne devez pas désactiver SELinux et le pare-feu sur une configuration en direct. Voici les étapes :Tout d'abord, vérifiez quel est l'état actuel de notre politique SELINUX.
[[email protected] ~]# getenforce
ApplicationPour le désactiver définitivement, suivez l'étape ci-dessous :
[[email protected] ~]# cd /etc/sysconfig/
[[email protected] ~]# vi selinux
# Ce fichier contrôle l'état de SELinux sur le système .
# SELINUX=peut prendre l'une de ces trois valeurs :
# enforcing - La politique de sécurité de SELinux est appliquée.
# permissive - SELinux affiche des avertissements au lieu de les appliquer.
# disabled - Aucune politique SELinux n'est chargée.
SELINUX=disabled
# SELINUXTYPE=peut prendre l'une de ces deux valeurs :
# target - Les processus ciblés sont protégés,
# mls - Multi Level Security protection.
SELINUXTYPE=ciblé
Après cela, assurons-nous d'avoir désactivé le pare-feu pour éviter tout blocage entre le serveur et la connexion client.[[email protected] ~]# iptables -nL
Chaîne INPUT (policy ACCEPT)
target prot opt source destination
Chain FORWARD (policy ACCEPT)
cible prot opt source destination
Chaîne SORTIE (politique ACCEPTER)
cible prot opt source destination[[email protected] ~]# /etc/init.d/iptables stop
iptables :vidage des règles de pare-feu :[ OK ]
iptables :définition de chaînes à la stratégie ACCEPT :filtre [ OK ]
iptables :Déchargement des modules :[ OK ][[email protected] ~]# /etc/init.d/iptables status
Table :filter
Chain INPUT (policy ACCEPT)
num target prot opt source destination
Chaîne FORWARD (policy ACCEPT)
num cible prot opt source destination
Chain OUTPUT (policy ACCEPT)
num cible prot opt source destination
Fait, maintenant que la phase d'installation a réussi. Passons à la phase de configuration.
3. Configuration RsyslogToutes les dépendances du package ont déjà été installées, concentrons-nous sur la configuration de rsyslog. Allons dans le fichier de configuration et apportons les modifications comme ci-dessous :
[[email protected] ~]# vi /etc/rsyslog.conf
module(load="imudp") # ne doit être fait qu'une seule fois
input(type=" imudp" port="514")
$template Auditlog, "/var/log/rsyslog_client/%HOSTNAME%/%PROGRAMNAME%.log"
$template TmplMsg, "/var/ log/rsyslog_client/%HOSTNAME%/%PROGRAMNAME%.log"
authpriv.* ?AuditlogVous trouverez ci-dessous l'explication des modifications de configuration que nous avons apportées :
- module(load="imudp") # ne doit être fait qu'une seule fois ==> Nous fournirons la possibilité de recevoir le message rsyslog entre le serveur et le client via le protocole UDP
- entrée(type="imudp" port="514") ==> Nous utiliserons le port 514 pour les services rsyslog
- $template Auditlog, "/var/log/rsyslog_client/%HOSTNAME%/%PROGRAMNAME%.log" ==> Pour chaque client connecté au serveur rsyslog, le système créera automatiquement le dossier du nom d'hôte du client et le nom du fichier des services associés
- $template TmplMsg, "/var/log/rsyslog_client/%HOSTNAME%/%PROGRAMNAME%.log" ==> Pour chaque client connecté au serveur rsyslog, le système créera automatiquement le dossier du nom d'hôte du client et le nom du fichier des services associés
Une fois la configuration terminée, démarrons le service rsyslog.
[[email protected] yum.repos.d]# /etc/init.d/rsyslog restart
Arrêt de l'enregistreur système :[ÉCHEC]
Démarrage de l'enregistreur système :[OK]
Utilisez netstat pour vous assurer que les services rsyslog sont opérationnels :
[[email protected] yum.repos.d]# netstat -uanp|grep rsyslog
udp 0 0 0.0.0.0:514 0.0.0.0:* 2430/rsyslogd
udp 0 0 :::514 :::* 2430/rsyslogd
Ci-dessus, vous pouvez voir que notre service rsyslog fonctionne avec les attributions de port que nous avons faites. Par défaut, rsyslog audite également son propre accès au serveur car il traite le serveur rsyslog comme un client. Pour vérifier si cela fonctionne, nous pouvons jeter un œil au dossier /var/log. Vérifions si un dossier portant le nom RSYS01 (c'est le nom d'hôte du serveur) existe ou non.
[[email protected] log]# cd /var/log/
[[email protected] log]# ls -l|grep rsyslog
drwx------ 3 root root 4096 24 octobre 18:21 rsyslog_client
[[email protected] log]# cd rsyslog_client
[[email protected] rsyslog_client]# ls
RSYS01
[[email protected] rsyslog_client]# cd RSYS01/
[[email protected] RSYS01]# ls
rsyslogd.log
Nice, semble que tout fonctionne comme un charme! Passons maintenant à la phase de test pour conclure que toutes les configurations sont effectuées comme prévu.
4. Phase de test
Comme le serveur qui exécute le service rsyslog fonctionne également en tant que client, nous pouvons voir sur le serveur lui-même si la surveillance des connexions locales est surveillée. Pour vérifier si c'est vrai, connectons-nous au serveur rsyslog avec une autre session en utilisant le service SSH. Pour cette étape, nous supposerons que le serveur lui-même a déjà configuré la configuration sans mot de passe. Voici les étapes :
[[email protected] RSYS01]# ssh [email protected]
Dernière connexion :sam. 22 octobre 15:45:48 2016 à partir de 172.20.181.70
[[email protected] ~]# who
root pts/0 2016-10-22 00:21 (172.20.181.11)
root pts/1 2016-10-24 18:22 ( 127.0.0.1)
[[email protected] ~]# exit
déconnexion
Connexion à RSYS01 fermée.
C'est fait, aussi simple que cela. Nous nous connectons simplement au serveur rsyslog lui-même, puis une fois la nouvelle session créée, nous nous reconnectons simplement pour nous assurer que le service rsyslog a audité la session. Maintenant, vérifions si la session a été auditée ou non. Voici les étapes :
[[email protected] ~]# cd var/log/rsyslog_client/RSYS01
[[email protected] RSYS01]# ls
rsyslogd.log sshd.log
[[email protected ] RSYS01]# tail -f sshd.log
24 oct. 18:22:46 RSYS01 sshd[2536] :mot de passe accepté pour root à partir du port 52862 ssh2 192.168.43.101
24 oct. 18:22:46 RSYS01 sshd[2536] :pam_unix(sshd:session) :session ouverte pour l'utilisateur root par (uid=0)
24 octobre 18:22:50 RSYS01 sshd[2536] : déconnexion reçue de 192.168.43.101 : 11 : déconnecté par l'utilisateur
Oct 24 18:22:50 RSYS01 sshd[2536] :pam_unix(sshd:session) :session fermée pour l'utilisateur root
^C
Excellent, le service rsyslog crée automatiquement un fichier sshd.log au démarrage de la session sur le serveur. Dans le fichier journal, nous pouvons voir qu'il y a une liste de détails indiquant l'heure, le port et l'utilisateur créé sous la session.
Maintenant que tout fonctionne comme prévu. Configurons un poste de travail pour que le client rsyslog soit audité par notre serveur rsyslog. Pour le client rsyslog, il vous suffit d'installer les packages rsyslog et d'apporter une simple modification au fichier de configuration pour le lier au serveur rsyslog. Voici les étapes :
[[email protected] ~]# cd /etc/yum.repos.d/
[[email protected] yum.repos.d]# yum list rsyslog
Plugins chargés :refresh-packagekit , sécurité
rsyslog-v7-stable | 2,5 Ko 00:00
rsyslog-v7-stable/primary_db | 188 Ko 00:01
Packages disponibles
rsyslog.i686 7.6.7-1.el6 rsyslog-v7-stable
[[email protected] yum.repos.d]# yum install rsyslog -y
Plugins chargés :refresh-packagekit, security
Configuration du processus d'installation
Résolution des dépendances
--> Exécution de la vérification des transactions
---> Le package rsyslog.i686 0:7.6.7-1.el6 sera installé
--> Dépendance de traitement :liblogging-stdlog.so. 0 pour le package :rsyslog-7.6.7-1.el6.i686
--> Dépendance de traitement :libjson-c.so.2 pour le package :rsyslog-7.6.7-1.el6.i686
--> Dépendance de traitement :libgthttp.so.0 pour le package :rsyslog-7.6.7-1.el6.i686
--> Dépendance de traitement :libgtbase.so.0 pour le package :rsyslog-7.6.7-1 .el6.i686
--> Dépendance de traitement :libgt pour le package :rsyslog-7.6.7-1.el6.i686
--> Dépendance de traitement :libestr.so.0 pour le package :rsyslog-7.6 .7-1.el6.i686
--> Exécution de la vérification des transactions
---> Le package json-c.i686 0:0.11-3.el6 sera installé
---> Le package libestr.i686 0:0.1.9-1.el6 sera installé
---> Le package libgt.i686 0:0.3.11-1.el6 sera installé ed
---> Le package liblogging.i686 0:1.0.4-1.el6 sera installé
--> Résolution des dépendances terminée
Dépendances résolues
============================================================================================================
Taille du référentiel de la version de Package Arch
=============================================================================================================
Installation :
rsyslog i686 7.6.7-1.el6 rsyslog-v7-stable 920 k
Installation pour les dépendances :
json-c i686 0.11-3.el6 rsyslog-v7-stable 46 k
libestr i686 0.1. 9-1.el6 rsyslog-v7-stable 9.0 k
libgt i686 0.3.11-1.el6 rsyslog-v7-stable 55 k
liblogging i686 1.0.4-1.el6 rsyslog-v7-stable 23 k
Résumé des transactions
=============================================================================================================
Installer 5 packages
Taille totale de téléchargement :1,0 M
Taille installée :3,2 M
Télécharger g Paquets :
(1/5) :json-c-0.11-3.el6.i686.rpm | 46 Ko 00:00
(2/5) :libestr-0.1.9-1.el6.i686.rpm | 9.0 Ko 00:00
(3/5) :libgt-0.3.11-1.el6.i686.rpm | 55 Ko 00:00
(4/5) :liblogging-1.0.4-1.el6.i686.rpm | 23 Ko 00:00
(5/5) :rsyslog-7.6.7-1.el6.i686.rpm | 920 Ko 00:03
-------------------------------------------------- -------------------------------------------------- --------------------
Total 114 Ko/s | 1.0 Mo 00:09
Exécution de rpm_check_debug
Exécution du test de transaction
Test de transaction réussi
Exécution de la transaction
Installation :libgt-0.3.11-1.el6.i686 1/ 5
Installation :liblogging-1.0.4-1.el6.i686 2/5
Installation :libestr-0.1.9-1.el6.i686 3/5
Installation :json-c -0.11-3.el6.i686 4/5
Installation :rsyslog-7.6.7-1.el6.i686 5/5
Vérification :json-c-0.11-3.el6.i686 1/ 5
Vérification :libestr-0.1.9-1.el6.i686 2/5
Vérification :liblogging-1.0.4-1.el6.i686 3/5
Vérification :libgt-0.3 .11-1.el6.i686 4/5
Vérification :rsyslog-7.6.7-1.el6.i686 5/5
Installé :
rsyslog.i686 0 :7.6.7-1.el6
Dépendance installée :
json-c.i686 0:0.11-3.el6 libestr.i686 0:0.1.9-1.el6 libgt.i686 0 :0.3.11-1.el6 liblogging.i686 0:1.0.4-1.el6
Complet !
Terminé, nous avons maintenant installé le package rsyslog sur notre poste de travail client. Apportons maintenant une modification dans le fichier de configuration rsyslog. Pour une configuration client, il vous suffit de modifier la configuration comme ci-dessous :
[[email protected] ~]# vi /etc/rsyslog.conf
*.* @192.168.43.101:514
C'est tout, notez que nous avons inclus l'IP 192.168.43.101 avec le port 514 dans le fichier de configuration. Cette adresse IP est l'adresse IP du serveur rsyslog. Maintenant que tout est fait, redémarrons le service rsyslog sur le poste client pour charger les changements. Voici les étapes :
[[email protected] ~]# /etc/init.d/rsyslog restart
Arrêt de l'enregistreur système :[FAILED]
Démarrage de l'enregistreur système :[ OK ]
Revenons maintenant à notre serveur rsyslog et voyons si un dossier pour le nom d'hôte du client rsyslog a été créé dans le répertoire des journaux rsyslog. Voici les étapes :
[[email protected] ~]# cd var/log/rsyslog_client/
[[email protected] rsyslog_client]# ls
RSYS01 CLIENT01
Excellent, notez qu'un dossier avec le nom d'hôte du client rsyslog a été créé automatiquement. Cela confirme que notre configuration est correcte et que le client rsyslog est capable d'établir une connexion UDP avec le serveur rsyslog.
Pour la prochaine procédure de test, connectons-nous au client rsyslog en tant qu'autre utilisateur et voyons si le serveur rsyslog parvient à capturer l'activité ou non. Voici les étapes :
::CLIENT01::
connectez-vous en tant que :shahril
Mot de passe de [email protected] :
Dernière connexion :dim. 23 octobre 00:21:40 2016 à partir de 172.20.181.11[[email protected] ~]$ qui
shahril pts/0 2016-10-24 17:01 (192.168.43.80)[[email protected] ~]$ quitter
Maintenant, vérifions le répertoire des journaux à l'intérieur du serveur rsyslog pour voir si nous avons réussi à enregistrer l'activité créée à partir du client rsyslog ou non.[[email protected] ~]# cd var/log/rsyslog_client/
[[email protected] rsyslog_client]# cd CLIENT01/
[[email protected] CLIENT01]# ls
rsyslogd.log sshd.log
[[email protected] CLIENT01]# tail -10 sshd.log
24 octobre 17:01:47 CLIENT01 sshd[2102] :mot de passe accepté pour shahril à partir du port 192.168.43.80 17002 ssh2
24 octobre 17:01:47 CLIENT01 sshd[2102] :pam_unix(sshd:session) :session ouverte pour l'utilisateur shahril par (uid=0)
Génial, le résultat montre que le processus fonctionne comme prévu. Maintenant, pour le test final, reconnectons-nous au client rsyslog et installons un package pour tester si le service rsyslog parvient à enregistrer une activité autre que la création de session. Voici les étapes :::CLIENT01::
connectez-vous en tant que :root
Mot de passe de [email protected] :
Dernière connexion :sam. 22 octobre 10:21:40 2016 à partir de 172.20.181.11[[email protected] ~]# yum install firefox -y
Plugins chargés :refresh-packagekit, security
Le référentiel 'OEL64' n'a pas de nom dans la configuration, en utilisant l'id
Configuration Processus d'installation
Résolution des dépendances
--> Exécution de la vérification des transactions
---> Le package firefox.i686 0:10.0.12-1.0.1.el6_3 sera installé
--> Résolution des dépendances terminée
Dépendances résolues
===============================================================================
Taille du référentiel de la version de l'architecture des packages
===============================================================================
Installation :
firefox i686 10.0.12-1.0.1.el6_3 OEL64 20 M
Résumé des transactions
===============================================================================
Installer 1 paquet(s)
Taille totale de téléchargement :20 M
Taille installée :23 M
Téléchargement de packages :
Exécution de rpm_check_debug
Exécution du test de transaction
Transa ction Test Succeeded
Transaction en cours d'exécution
Installation :firefox-10.0.12-1.0.1.el6_3.i686 1/1
Vérification :firefox-10.0.12-1.0.1.el6_3.i686 1/1
Installé :
firefox.i686 0:10.0.12-1.0.1.el6_3
Complet !Ce qui précède montre que nous avons installé avec succès un programme d'installation de navigateur firefox dans notre poste de travail client rsyslog. Revenons maintenant à notre serveur rsyslog et vérifions si rsyslog a pu enregistrer le processus d'installation d'un package tiers sur le poste de travail. Voici les étapes :
[[email protected] ~]# cd var/log/rsyslog_client/
[[email protected] CLIENT01]# ls
rsyslogd.log sshd.log yum.log
[[ email protected] CLIENT01]# tail -20 yum.log
25 octobre 17:13:17 CLIENT01 yum[2319] :Installé :firefox-10.0.12-1.0.1.el6_3.i686Excellent, le service rsyslog a réussi à auditer les informations de l'activité d'installation sur le poste client.