Servidor de Logs - Histórico de revisão

Gondim em 03h44min de 26 de abril de 2021

2021-04-26T03:44:18Z

Gondim em 01h50min de 26 de abril de 2021

2021-04-26T01:50:24Z

Gondim em 01h49min de 26 de abril de 2021

2021-04-26T01:49:51Z

Gondim em 01h44min de 26 de abril de 2021

2021-04-26T01:44:28Z

Gondim em 01h43min de 26 de abril de 2021

2021-04-26T01:43:07Z

Gondim em 01h41min de 26 de abril de 2021

2021-04-26T01:41:11Z

Gondim em 01h40min de 26 de abril de 2021

2021-04-26T01:40:13Z

Gondim em 01h32min de 26 de abril de 2021

2021-04-26T01:32:33Z

Gondim em 23h09min de 25 de abril de 2021

2021-04-25T23:09:41Z

Gondim em 23h09min de 25 de abril de 2021

2021-04-25T23:09:22Z

@@ Linha 217: / Linha 217: @@
 O script acima utiliza a '''netdev''' do '''nftables''' para fazer bloqueios. Ela é extremamente performática e bem mais eficiente que a '''table RAW''' do '''Netfilter/IPTables'''. Você deve substituir a interface '''ens192''' pela interface do seu servidor. Os blocos estão bem separados e definimos duas variáveis '''bogons_v4''' e '''bogons_v6''' que dispensam comentários sobre suas finalidades. Temos o bloco que bloqueia alguns tipos de pacotes indesejados, temos o bloco que bloqueia os bogons e o último bloco é onde liberamos os servidores e equipamentos do nosso artigo, de enviarem seus logs. Por último bloqueamos a porta 514/UDP. Não esqueça de fazer as duas últimas linhas também para o seu acesso ssh. É claro que o script acima pode ser feito, perfeitamente, em iptables mas foi feito assim, para demonstrar um novo jeito de se implementar firewall nas Distribuições Linux mais recentes.
-== <big>Configurando o envio de log nos servidores e equipamentos do nosso exemplo:</big> ==
+== <big>Configurando o envio de log nos servidores e equipamentos do nosso exemplo</big> ==
 Estamos chegando quase no fim deste artigo. Agora serão mostrados exemplos de configuração para envio dos logs, para o '''Servidor de Logs'''. Em teoria quase todo sistema gera logs e em muitos casos, podem ser enviados remotamente para um agregador de logs. Aqui vamos ver 3 exemplos apenas, mas basta procurar como fazer no seu sistema, utilizando o recurso de envio de logs via '''servidor syslog'''.

@@ Linha 220: / Linha 220: @@
 Estamos chegando quase no fim deste artigo. Agora serão mostrados exemplos de configuração para envio dos logs, para o '''Servidor de Logs'''. Em teoria quase todo sistema gera logs e em muitos casos, podem ser enviados remotamente para um agregador de logs. Aqui vamos ver 3 exemplos apenas, mas basta procurar como fazer no seu sistema, utilizando o recurso de envio de logs via '''servidor syslog'''.
-=== Servidor Linux: ===
+=== Servidor Linux ===
 No servidor Linux ('''2001:db8:face:b00c:192:168:10:25)''', incluiremos a seguinte linha no final do arquivo '''/etc/rsyslog.conf'''. Essa linha instrui o '''rsyslog''', para enviar todos os logs para o '''Servidor de Logs'''. Bem simples.<pre>
 *.* @[2001:db8:106::192:168:1:1]:514
@@ Linha 238: / Linha 238: @@
 Verifique se no '''Servidor de Logs''', foi criado o arquivo de log. Se o arquivo não foi criado é porque algum dos passos acima foi executado de forma errada. Dê uma conferida.
-=== CGNAT DANOS: ===
+=== CGNAT DANOS ===
 Agora faremos a configuração em um servidor de CGNAT DANOS ('''2001:db8:c0ca:c01a:192:168:0:3)'''. Para isso acesse seu servidor, entre em modo de configuração e execute o comando exemplo alterando para o IP do seu servidor:<pre>
 set system syslog host '[2001:db8:106::192:168:1:1]:514' facility all level info
 </pre>
-=== Mikrotik RouterOS: ===
+=== Mikrotik RouterOS ===
 Por último a configuração de um RouterOS ('''2001:db8:dead::192:168:200:4'''). Primeiro vamos no '''Winbox''' em '''System/Logging''' e na aba '''Actions''' vamos criar uma ação do tipo remota. Nela vamos apontar para o IP do '''Servidor de Logs''' conforme abaixo:
 [[Arquivo:Syslog img.png|nenhum|miniaturadaimagem|581x581px]]

@@ Linha 238: / Linha 238: @@
 Verifique se no '''Servidor de Logs''', foi criado o arquivo de log. Se o arquivo não foi criado é porque algum dos passos acima foi executado de forma errada. Dê uma conferida.
-=== DANOS CGNAT: ===
+=== CGNAT DANOS: ===
 Agora faremos a configuração em um servidor de CGNAT DANOS ('''2001:db8:c0ca:c01a:192:168:0:3)'''. Para isso acesse seu servidor, entre em modo de configuração e execute o comando exemplo alterando para o IP do seu servidor:<pre>
 set system syslog host '[2001:db8:106::192:168:1:1]:514' facility all level info

@@ Linha 15: / Linha 15: @@
 == <big>Diagrama exemplo</big> ==
 [[Arquivo:Servidor logs.io.png|miniaturadaimagem|747x747px|'''Sim são redes distintas e interconectadas de alguma forma. Para demonstrar que o Servidor de Logs não necessita de estar na mesma rede lógica.'''|nenhum]]
 == <big>Acertando a data/hora do sistema:</big> ==
 <pre>
@@ Linha 74: / Linha 69: @@
 == <big>Configuração do Servidor</big> ==
 Agora partiremos para a configuração do Servidor de Logs em si. Vamos definir a seguinte estratégia baseada no diagrama acima: temos 3 tipos de casos, como exemplo, servidores comuns (serviços como http, smtp, dns, etc), caixas CGNAT e Mikrotiks fazendo, por exemplo, concentração PPPoE (BNG). Baseado nessas informações, separaremos o armazenamento em diretórios distintos, facilitando a organização e manipulação dos dados armazenados.
 <pre>

@@ Linha 15: / Linha 15: @@
 == <big>Diagrama exemplo</big> ==
 [[Arquivo:Servidor logs.io.png|miniaturadaimagem|747x747px|'''Sim são redes distintas e interconectadas de alguma forma. Para demonstrar que o Servidor de Logs não necessita de estar na mesma rede lógica.'''|nenhum]]
 Para a instalação do servidor, basta ter em mãos um pendrive com o instalador do Debian Buster. Caso ainda não tenha, aqui vai um [https://cdimage.debian.org/cdimage/unofficial/non-free/cd-including-firmware/10.9.0+nonfree/amd64/iso-cd/firmware-10.9.0-amd64-netinst.iso link] que costumo usar. Esse link pode mudar conforme atualizações do sistema. Não iremos entrar em detalhes sobre a instalação do Debian, só tenha em mente que você precisará instalar o mínimo necessário e o servidor ssh para acessá-lo remotamente. Nada de ambientes gráficos!
 O sistema não deve ter nenhum serviço rodando além do '''cron''', '''ntpd''' e o '''rsyslogd'''. Desabilite e/ou remova qualquer serviço desnecessário. Isso melhora a segurança do seu sistema e uso de recursos.
-=== Acertando a data/hora do sistema: ===
+== <big>Acertando a data/hora do sistema:</big> ==
 <pre>
 # apt install openntpd

@@ Linha 22: / Linha 22: @@
 O sistema não deve ter nenhum serviço rodando além do '''cron''', '''ntpd''' e o '''rsyslogd'''. Desabilite e/ou remova qualquer serviço desnecessário. Isso melhora a segurança do seu sistema e uso de recursos.
-'''Acertando a data/hora do sistema:'''<pre>
+=== '''Acertando a data/hora do sistema:''' ===
 # apt install openntpd
 </pre>Alterar o '''/etc/openntpd/ntpd.conf''' comentando a configuração atual e adicionando o novo Pool ('''pool.ntp.br''') conforme abaixo:
@@ Linha 73: / Linha 74: @@
 </pre>Acima vemos que o fuso do log está em UTC. Se o fuso horário dos seus logs for UTC -03 (América/São Paulo), então será necessário diminuir 3 horas desse log, ou seja, você procurará por um log nesse período: 2019-06-07 10:45:29. Não esqueça de checar se o período consultado não foi em alguma época, que ainda estava se usando horário de verão. Nesse nosso exemplo seria UTC -02 e diminuiríamos 2 horas, ao invés de 3.
 Agora partiremos para a configuração do Servidor de Logs em si. Vamos definir a seguinte estratégia baseada no diagrama acima: temos 3 tipos de casos, como exemplo, servidores comuns (serviços como http, smtp, dns, etc), caixas CGNAT e Mikrotiks fazendo, por exemplo, concentração PPPoE (BNG). Baseado nessas informações, separaremos o armazenamento em diretórios distintos, facilitando a organização e manipulação dos dados armazenados.
 <pre>

@@ Linha 58: / Linha 58: @@
 sex abr 23 17:25:29 -03 2021
 </pre>Caso o fuso horário do servidor esteja errado, pode usar o seguinte comando para corrigir: '''dpkg-reconfigure tzdata'''
-* '''Uma observação importante: nunca esqueça de comparar o fuso horário, data e hora do log com a consulta que quer fazer. Se o fuso consultado for diferente, não esqueça de fazer o cálculo correto e corrigir a data e horário na consulta.''' Um exemplo: vamos supor que você receba por e-mail, um comunicado de incidente e no e-mail o log esteja assim com o seguinte formato.
 <pre>
 Date/timestamps (at the very left) are UTC.