Servidor para centralização de logs - Fedora 7
Em redes de grande porte com muitos servidores, fica impossível dar a devida atenção a cada servidor. Para um melhor trabalho é interessante centralizar os logs em um único servidor e, a partir dele, gerar relatórios e comparativos.
Parte 3: Dicas do que precisa ser feito
1) Ajuste o relógio de seus servidores utilizando o "ntp".
Dica: Editar o arquivo /etc/rc.d/rc.local e adicionar a linha:
2) No servidor de logs, para verificar se o syslog está funcionando, digitar:
# netstat -l
Será exibido:
(texto cortado)
# tail -f /var/log/secure
2) A partir de uma segunda máquina execute um ssh para uma máquina que esteja enviando seus logs para o servidor de logs. Será exibida uma mensagem parecida com essa no servidor de logs:
Nov 19 17:01:16 192.168.1.99 sshd[16244]: Connection closed by 10.83.1.199
Nov 19 17:03:17 monitoramento sshd[31815]: fatal: Read from socket failed: Connection reset by peer
Dica: Editar o arquivo /etc/rc.d/rc.local e adicionar a linha:
/usr/sbin/ntpdate SERVIDOR_DE_HORA
2) No servidor de logs, para verificar se o syslog está funcionando, digitar:
# netstat -l
Será exibido:
(texto cortado)
udp 0 0 *:syslog *:*(texto cortado)
Testando o funcionamento do serviço
1) Abra um shell no servidor centralizador de logs e digite:# tail -f /var/log/secure
2) A partir de uma segunda máquina execute um ssh para uma máquina que esteja enviando seus logs para o servidor de logs. Será exibida uma mensagem parecida com essa no servidor de logs:
Nov 19 17:01:16 192.168.1.99 sshd[16244]: Connection closed by 10.83.1.199
Nov 19 17:03:17 monitoramento sshd[31815]: fatal: Read from socket failed: Connection reset by peer
temos que ter em mente alguns riscos envolvidos nisto:
- 1) Os logs trafegam em Clear Text pela rede: Se alguem estiver sniffando a rede e pegar um auth.log passando pode conseguir informações uteis para um ataque mais perigoso.
- 2) Deve-se tomar cuidado com uso de hostnames em servers de syslog uma vez que se um atacante fizer um DNS Spoof na rede pode direcionar todos os logs para a maquina dele e ferrar com tudo.
Bom, workaround ? Pode-se criar um túnel com Stunnel e criptografar usando TLS/SSL dai fica mto bom =]
Como Admin seu artigo é 10, como segurança é 5 :P
Valeu. []s