Sidecar гэж юу вэ, Security Data Lake-д лог цуглуулагчдыг хэрхэн тохируулах вэ?

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

Bitdefender Sidecar бол лог цуглуулагчдын (log collector) тохиргоог удирдах хөнгөн систем юм. Энэ нь Winlogbeat, Filebeat, NXLog зэрэг цуглуулагчдыг олон хост дээр төвлөрүүлэн суулгах, тохируулах, удирдах нэгдсэн орчин өгнө. Ингэснээр лог цуглуулалт хялбар болж, тархсан орчинд тохиргоо нэг төрлөөр хадгалагдана.

Sidecar-ийн архитектур

Security Data Lake нь лог цуглуулагчийн тохиргоог удирдах төв үүрэг гүйцэтгэнэ. Sidecar daemon нь REST API ашиглан бай (target) бүрийн хамгийн сүүлийн тохиргоог үе үе татаж авна. Анх удаа ажиллах үед эсвэл тохиргоо өөрчлөгдсөн нь илэрсэн үед Sidecar шаардлагатай backend тохиргооны файлуудыг үүсгээд, өөрчлөлтөд өртсөн лог цуглуулагчдыг дахин асаана. Цуглуулагч бүрийн тохиргоог Security Data Lake-ийн вэб интерфейсээр төвлөрүүлэн удирддаг тул тохиргоо нэг төрлөөр хадгалагдаж, удирдлага хялбар болно.

Sidecar нь дэмжигдсэн, мессеж үүсгэдэг төхөөрөмж дээр service (Windows хост) эсвэл daemon (Linux хост) хэлбэрээр ажиллаж болно.

Sidecar суулгах

Sidecar-ийг суулгаж, шаардлагатай тохиргоог хийхийн тулд дараах алхмуудыг дагана уу.

1. Security Data Lake дээр sidecar тохируулах

Sidecar үүсгэж тохируулахын тулд дараах алхмуудыг хийнэ.

1.1 Input тохируулах

Sidecar-ийг суулгахын өмнө Beats цуглуулагчаас өгөгдөл хүлээн авах шинэ Beats input-ийг үүсгэж, Sidecar-ийн логийг port 5044 дээр хүлээн авахаар тохируулна.

1.2 API token үүсгэх

Дэлгэцийн баруун дээд талд байрлах хэрэглэгчийн дүрсийг сонгоод Edit profile дээр дарна.

Дэлгэцийн баруун дээд талаас Edit tokens-ийг сонгоно.

Token-ий мэдээллийг оруулаад Create Token-ийг сонгоно.

API серверийн token-ийг дараа хэрэг болоход олж авахын тулд аюулгүй боловч хүрэхэд хялбар газар хадгална уу.

1.3 Sidecar татаж авах

Манай багц хадгалах сангаас .deb, .rpm, .msi, .exe, .arm, .tar болон .gz багцуудыг олж болно. Тохирох багцыг татахдаа доорх «Bitdefender Sidecar releases» хэсгийг үзнэ үү.

2. Локал орчноо бэлтгэх

Тэмдэглэл: Энэ хэсэг дэх Bitdefender Sidecar суулгагчийн бүх URL нь жишээ бөгөөд бодит хувилбарын оронд <version> орлуулагчтай байна. Bitdefender Sidecar-ийг суулгахдаа өөрийн суулгах аргад тохирох суулгагчийн URL-ийг «Bitdefender Sidecar releases» хэсгээс хуулж аваад командуудаа тохируулна уу.

Windows

Bitdefender Sidecar-ийг Windows дээр интерактив эсвэл чимээгүй (silent) горимоор суулгаж болно.

Интерактив суулгалт

Суулгагчийг ажиллуулна:

```
bitdefender_sidecar_installer_<version>.exe
```

Суулгалтын шидтэний (wizard) алхмуудыг дагана:

- Security Data Lake серверийнхээ URL-ийг оруулна, жишээ нь: https://sdl-<tenant-id>.datainsights.gravityzone.bitdefender.com/api
- Sidecar-ийн өөрийн нэрийг оруулна.
- Дээрх «1.2 API token үүсгэх» алхамд үүсгэсэн Security Data Lake серверийн API token-ийг оруулна.

Суулгасны дараа тохиргооны файлыг дараах байршлаас засаж болно:

C:\Program Files\Bitdefender\sidecar\sidecar.yml

Ихэнх тохиргооны параметр анхдагч утгатай байна. Гараар заавал тохируулах параметр нь зөвхөн server_url болон server_api_token.

Чимээгүй суулгалт

Суулгагчийг чимээгүй горимд ажиллуулахдаа дараах командыг ашиглана:

bitdefender_sidecar_installer_<version>.exe /S -SERVERURL=https://sdl-<tenant-id>.datainsights.gravityzone.bitdefender.com/api -APITOKEN=<your_api_token>

Windows суулгагч нь чимээгүй горимд дараах нэмэлт сонголтуудыг мөн дэмжинэ:

-TAGS=["example","IIS"] -NODENAME=mynodename -NODEID=1234 -SENDSTATUS=false -TLSSKIPVERIFY=true -UPDATEINTERVAL=10s

Sidecar service-ийг эхлүүлэх

Bitdefender Sidecar суулгасны дараа service-ийг эхлүүлэхийн тулд дараах алхмуудыг хийнэ:

C:\Program Files\Bitdefender\sidecar хавтас руу очно.
bitdefender-sidecar.exe файл дээр хулганы баруун товчийг дараад Run as administrator-ийг сонгоно.

Winlogbeat цуглуулагчийн тохиргоо нэмэх

Sidecar-даа Winlogbeat цуглуулагчийн тохиргоо нэмж, Windows event лог цуглуулж эхлэхийн тулд дараах алхмуудыг хийнэ.

Security Data Lake дээр System > Sidecars руу очоод өөрийн Windows төхөөрөмжийг олно.
Өөрийн Windows sidecar-ийг сонгох эсвэл Manage sidecar дээр дарна.
Collectors Administration хэсэгт winlogbeat-ийг сонгоод Assign Configurations дээр дарна.
Одоо байгаа тохиргоог сонгох эсвэл шинээр үүсгээд Save дээр дарна. Цуглуулагчийг тохируулах талаар дэлгэрэнгүйг доорх «Sidecar collectors» хэсгээс үзнэ үү.
Өгөгдөл цуглуулж эхлэхийн тулд Process унждаг цэсийг нээгээд Start-ийг сонгоно.
Sidecar-ийн төлвийг харахын тулд Overview табыг сонгоно.

Эхэлсний дараа таны Security Data Lake-д тохируулсан машинаас Windows event лог орж эхэлнэ.

Linux - Хост машиныг бэлтгэх

Security Data Lake руу өгөгдөл илгээхээр бэлтгэхийн тулд лог өгөгдөл цуглуулах холын (remote) машин дээр дараах алхмуудыг хийнэ.

Debian / Ubuntu (.deb)

Sidecar-ийн репозиторийг болон багцыг суулгана.

Репозиторийн тохиргоо болон Sidecar багцыг суулгахын тулд дараах командуудыг ажиллуулна:

```
wget https://download.bitdefender.com/business/data-insights/sidecar/<version>/bitdefender-sidecar_<version>.deb
sudo dpkg -i bitdefender-sidecar_<version>.deb
```

Тохиргооны файлыг засна.

Тохиргооны файлыг нээгээд шаардлагатай параметрүүдийг зааж өгнө. Ихэнх тохиргоо анхдагч утгатай боловч server_url болон server_api_token-ийг заавал гараар тохируулна.

```
sudo vi /etc/bitdefender/sidecar/sidecar.yml
```

Sidecar-ийг системийн service болгон идэвхжүүлнэ.

Үйлдлийн системийнхээ хувилбараас хамааран доорх командуудаар Sidecar-ийг service болгон суулгаж эхлүүлнэ:

```
sudo vi /etc/bitdefender/sidecar/sidecar.yml

sudo bitdefender-sidecar -service install

# Ubuntu 14.04 with Upstart
sudo start bitdefender-sidecar

# Ubuntu 16.04 and later with systemd
sudo systemctl enable bitdefender-sidecar
sudo systemctl start bitdefender-sidecar
```

RHEL / CentOS (.rpm, yum)

Sidecar-ийн репозиторийг болон багцыг суулгана

Репозиторийн тохиргоо болон Sidecar багцыг суулгахын тулд дараах командуудыг ажиллуулна:

```
sudo rpm -Uvh https://download.bitdefender.com/business/data-insights/sidecar/<version>/bitdefender-sidecar-<version>.rpm
sudo yum install bitdefender-sidecar
```

Тохиргооны файлыг засна.

Тохиргооны файлыг нээгээд шаардлагатай параметрүүдийг тохируулна. Ихэнх сонголт анхдагч утгатай боловч server_url болон server_api_token-ийг заавал гараар тохируулна.

```
vi /etc/bitdefender/sidecar/sidecar.yml
```

Sidecar-ийг системийн service болгон идэвхжүүлнэ.

Дараах командуудаар Sidecar-ийг service болгон суулгаж эхлүүлнэ:

```
sudo bitdefender-sidecar -service install
sudo systemctl enable bitdefender-sidecar
sudo systemctl start bitdefender-sidecar
```

SUSE (.rpm, zypper)

Sidecar-ийн репозиторийг болон багцыг суулгана.

Репозиторийн тохиргоо болон Sidecar багцыг суулгахын тулд дараах командуудыг ажиллуулна:

```
sudo rpm -Uvh https://download.bitdefender.com/business/data-insights/sidecar/<version>/bitdefender-sidecar-<version>.rpm
sudo mv /etc/yum.repos.d/* /etc/zypp/repos.d/
sudo zypper up
sudo zypper install bitdefender-sidecar
```

Асуулт гарвал дараахыг оруулна:

```
Continue? y
Do you want to reject the key, or trust always? [r/a/?] (r): a
```

Тохиргооны файлыг засна.

```
sudo vi /etc/bitdefender/sidecar/sidecar.yml
```

Sidecar-ийг системийн service болгон идэвхжүүлнэ.

Дараах командуудаар Sidecar-ийг service болгон суулгаж эхлүүлнэ:

```
sudo bitdefender-sidecar -service install
sudo systemctl enable bitdefender-sidecar
sudo systemctl start bitdefender-sidecar
```

Bitdefender Sidecar-ийг суулгасны дараагийн алхам бол Sidecar цуглуулагчдыг суулгах явдал юм. Цуглуулагч гэдэг нь таны системээс лог өгөгдлийг цуглуулж Security Data Lake руу дамжуулдаг агентууд бөгөөд Filebeat, Winlogbeat, NXLog зэрэг нь үүний жишээ юм.

Орчин болон өгөгдлийн эх сурвалжаасаа хамааран нэг буюу хэд хэдэн цуглуулагч суулгаж болно. Суулгасны дараа Sidecar нь боломжтой цуглуулагчдыг автоматаар илрүүлж, тэдгээрийн тохиргоог Security Data Lake-ийн вэб интерфейсээр удирдана.

`sidecar.yml` тохиргооны лавлах

Доор sidecar.yml тохиргооны файлд ашиглагддаг параметрүүдийн жагсаалтыг лавлах зорилгоор өгөв:

server_url — Security Data Lake REST API-ийн үндсэн URL-ийг заана. Зам нь /api/-г агуулсан байх ёстой. Жишээ: https://sdl-tenant-url/api/
server_api_token — Security Data Lake REST API-д нэвтрэхэд ашиглах API token. Энэ параметр заавал шаардлагатай. Жишээ: 1jq26cssvc6rj4qac4bt9oeeh0p4vt5u5kal9jocl1g9mdi4og3n
node_id — Sidecar instance-ийн өвөрмөц тодорхойлогч. Файлын URI эсвэл шууд тэмдэгт мөр байж болно. Файлын замын жишээ: file:/etc/bitdefender/sidecar/node-id. ID мөрийн жишээ: 6033137e-d56b-47fc-9762-cd699c11a5a9. Анхдагч утга:

- Windows: file:C:\\Program Files\\Bitdefender\\sidecar\\node-id
- Linux: file:/etc/bitdefender/sidecar/node-id

node_name — Вэб интерфейс дээр харагдах Sidecar instance-ийн нэр. Тохируулаагүй бол системийн hostname ашиглагдана.
update_interval — Sidecar сервераас шинэчилсэн тохиргоог хэдэн секунд тутамд татахыг заана. Анхдагч утга: 10. Тогтмол шинэчлэгддэг Sidecar-ийг active гэж тэмдэглэнэ. Идэвхгүй байх босгыг тохируулахын тулд вэб интерфейсийн System > Configuration > Sidecars System руу очно.
tls_skip_verify — HTTPS холболтод TLS сертификатын баталгаажуулалтыг алгасах эсэхийг тодорхойлно. Анхдагч утга: false
send_status — Sidecar цуглуулагчийн төлөв, metric, логийн жагсаалт зэрэг дэлгэрэнгүй төлвийг мэдээлэх эсэхийг удирдана. Серверийн ачааллыг багасгахын тулд энэ сонголтыг идэвхгүй болгож болно. Анхдагч утга: true
list_log_files — Хостын төлвийн хуудсанд жагсаан харуулах хавтсуудыг тодорхойлно. Нэг буюу хэд хэдэн зам байж болно. Жишээ: /var/log. Анхдагч утга: [] (хоосон жагсаалт)
cache_path — Sidecar-ийн локал кэш өгөгдлөө хадгалах хавтас. Анхдагч утга:

- Windows: C:\\Program Files\\Bitdefender\\sidecar\\cache
- Linux: /var/cache/bitdefender-sidecar

collector_configuration_directory — Үүсгэсэн цуглуулагчийн тохиргооны файлууд хадгалагдах хавтас. Анхдагч утга:

- Windows: C:\\Program Files\\Bitdefender\\sidecar\\generated
- Linux: /var/lib/bitdefender-sidecar/generated

log_path — Sidecar өөрийн лог файлуудаа бичих хавтас. Анхдагч утга:

- Windows: C:\\Program Files\\Bitdefender\\sidecar\\logs
- Linux: /var/log/bitdefender-sidecar

log_rotate_max_file_size — Лог файл ротаци (rotation) хийгдэхээс өмнөх дээд хэмжээ, MiB-ээр. Анхдагч утга: 10MiB
log_rotate_keep_files — Хадгалах ротаци хийгдсэн хуучин лог файлын тоо. Жишээ: log_rotate_keep_files: 10
collector_validation_timeout — Тохиргоог шалгах командыг хүлээх дээд хугацаа, минутаар. Жишээ: collector_validation_timeout: "1m"
windows_drive_range — Дискний ашиглалтыг шалгах Windows дискүүдийн хүрээ. Дискний ашиглалт 75%-иас хэтэрвэл Sidecar-ийн төлвийн тайлангаар Security Data Lake сервер рүү мэдээлэгдэнэ. Дискний шалгалтыг идэвхгүй болгохын тулд утгыг "" болгоно. Жишээ: windows_drive_range: "CDEFGHIJKLMNOPQRSTUVWXYZ"
collector_binaries_accesslist — Sidecar-д ажиллуулахыг зөвшөөрсөн цуглуулагчийн гүйцэтгэх файлуудыг заана. Энэ хязгаарлалтыг идэвхгүй болгохын тулд хоосон орхино. Анхдагч утга:

- Windows:
- C:\\Program Files\\Bitdefender\\sidecar\\filebeat.exe
- C:\\Program Files\\Bitdefender\\sidecar\\winlogbeat.exe
- C:\\Program Files\\Filebeat\\filebeat.exe
- C:\\Program Files\\Packetbeat\\packetbeat.exe
- C:\\Program Files\\Metricbeat\\metricbeat.exe
- C:\\Program Files\\Heartbeat\\heartbeat.exe
- C:\\Program Files\\Auditbeat\\auditbeat.exe
- C:\\Program Files (x86)\\nxlog\\nxlog.exe
- C:\\Program Files\\nxlog\\nxlog.exe
- Linux:
- /usr/bin/filebeat usr/bin/packetbeat
- /usr/bin/metricbeat
- /usr/bin/heartbeat
- /usr/bin/auditbeat
- /usr/bin/journalbeat
- /usr/share/filebeat/bin/filebeat
- /usr/share/packetbeat/bin/packetbeat
- /usr/share/metricbeat/bin/metricbeat
- /usr/share/heartbeat/bin/heartbeat
- /usr/share/auditbeat/bin/auditbeat
- /usr/share/journalbeat/bin/journalbeat
- /usr/bin/nxlog
- /opt/nxlog/bin/nxlog

tags — Тохиргооны tag-уудын жагсаалтыг тодорхойлно. Sidecar эдгээр tag-тай таарах бүх серверийн тохиргоог татаж аваад нэгтгэнэ. Анхдагч утга: [] (хоосон жагсаалт)

Bitdefender Sidecar releases

Bitdefender Sidecar 1.5.6

Гарсан огноо

2026.07.10

Татах холбоосууд

Windows .exe — https://download.bitdefender.com/business/data-insights/sidecar/1.5.6/bitdefender_sidecar_installer_1.5.6-1.exe
Windows .msi — https://download.bitdefender.com/business/data-insights/sidecar/1.5.6/bitdefender-sidecar-1.5.6-1.msi
ARM64 DEB — https://download.bitdefender.com/business/data-insights/sidecar/1.5.6/bitdefender-sidecar_1.5.6-1_arm64.deb
x86_x64 RPM — https://download.bitdefender.com/business/data-insights/sidecar/1.5.6/bitdefender-sidecar-1.5.6-1.x86_64.rpm
aarch64 RPM — https://download.bitdefender.com/business/data-insights/sidecar/1.5.6/bitdefender-sidecar-1.5.6-1.aarch64.rpm
Binary — https://download.bitdefender.com/business/data-insights/sidecar/1.5.6/bitdefender-sidecar-1.5.6.tar.gz

Sidecar collectors

Цуглуулагч (collector) гэдэг нь хост системд суулгагдаж, лог өгөгдлийг цуглуулан Security Data Lake руу дамжуулдаг хөнгөн агент юм. Энэ нь локал файл, системийн лог, программуудаас логийг цуглуулаад Security Data Lake сервер эсвэл input endpoint руу аюулгүйгээр илгээж, төвд шинжилгээ хийхэд бэлтгэнэ.

Цуглуулагчдыг ихэвчлэн Sidecar-аар удирддаг бөгөөд администратор олон цуглуулагчийг нэг интерфейсээс тохируулах, суулгах, хянах боломжтой. Ингэснээр өөр өөр сервер, орчинд лог цуглуулалт нэг төрлөөр явагдаж, хост бүр дээр гараар тохируулах шаардлага багасна.

Цуглуулагч хоёр төрөлтэй:

Анхдагч цуглуулагчид (default collectors) — бэлэн тохиргоотой
Гараар суулгасан цуглуулагчид (manually installed collectors)

Анхдагч цуглуулагчид

Bitdefender Sidecar-тай хамт хэд хэдэн анхдагч цуглуулагчийн тохиргоо ирдэг. Эдгээр бэлэн тохиргоо суулгасны дараа автоматаар оноогдож, event лог болон audit framework-ийн мэдээлэл зэрэг өгөгдлийг тэр даруй цуглуулж эхэлнэ. Одоогоор дараах цуглуулагчид байна:

Linux x86/x86_64 — Filebeat, Auditbeat
Windows x86/x86_64 — Filebeat, Winlogbeat

Анхдагчаар ажиллах цуглуулагчдыг харахын тулд дараах алхмуудыг хийнэ:

System > Sidecars руу очно.

Configuration табыг сонгоно.

Анхдагч цуглуулагчдыг засах

Sidecar-ийн аль ч тохиргоог өөрийн хэрэгцээнд тааруулан өөрчилж болно. Гэхдээ анхдагч цуглуулагчийн тохиргоог шууд өөрчлөхийг зөвлөдөггүй. Анхдагч цуглуулагчийн тохиргоог өөрчлөх шаардлагатай бол тухайн тохиргооны More товчийг дараад Clone-ийг сонгон хуулбар үүсгэж, түүнийг анхдагчийн оронд ашиглана. Ингэснээр анхны тохиргоо сервер дээр хэвээр хадгалагдаж, асуудал гарвал сэргээх боломжтой.

Өөр нэг хялбар арга нь хувьсагч (variable) тодорхойлох бөгөөд тэдгээрийг цуглуулагчийн тохиргоог үүсгэх эсвэл засахдаа дахин ашиглаж болно. Ингэснээр нэг утгыг олон удаа гараар оруулах шаардлагагүй. Хувьсагчийн талаар дэлгэрэнгүйг «Managing sidecars» хэсгийн Create and edit variables дэд хэсгээс үзнэ үү.

Configuration Assignment Tags дор тохиргооны default tag-ийг хасвал тухайн тохиргоо Sidecar-д автоматаар хэрэглэгдэхээ болино.

Өөрийн цуглуулагчид (Custom collectors)

Security Data Lake нь Filebeat, Winlogbeat, Auditbeat-д анхдагч цуглуулагчийн тохиргоо өгдөг боловч Sidecar-тайгаа хамт ашиглахаар өөр цуглуулагчдыг суулгаж тохируулж болно.

Доорх хэсэгт NXLog-ийг жишээ болгон суулгах аргыг үзүүлнэ. Харин бусад цуглуулагчийг шаардлагынхаа дагуу ижил байдлаар суулгаж, нэгтгэж болно.

Sidecar нь өөрийн цуглуулагч backend-ийг тодорхойлох боломж олгодог тул тодорхой өгөгдөл цуглуулах хэрэгцээнд Sysmon, auditd, Packetbeat зэрэг хэрэгслүүдийг мөн ашиглаж болно.

NXLog суулгах

Ubuntu дээр

Ubuntu системд NXLog суулгахын тулд дараах алхмуудыг хийнэ:

NXLog багцыг татаж авч суулгана.

Ажиллаж буй NXLog instance-уудыг зогсоож, анхдагч системийн service тохиргоог устгана.

NXLog service-ийг (эхлүүлэх, зогсоох зэргийг) Sidecar удирддаг тул Sidecar хяналтыг авахаас өмнө одоо байгаа NXLog service-ийг идэвхгүй болгох шаардлагатай:

```
sudo systemctl stop nxlog
sudo update-rc.d -f nxlog remove
sudo gpasswd -a nxlog adm
sudo chown -R nxlog.nxlog /var/spool/nxlog
```

Эдгээр алхам нь Sidecar-д NXLog service-ийн бүрэн хяналт өгч, түүний амьдралын мөчлөгийг зөв удирдах боломжийг хангана.

CentOS дээр

Red Hat суурьтай системд NXLog суулгахын тулд дараах алхмуудыг хийнэ:

NXLog багцыг татаж авч суулгана.

Ажиллаж буй бүх NXLog instance-ийг зогсоож, анхдагч системийн service тохиргоог цуцална.

NXLog service-ийг (эхлүүлэх, зогсоох зэргийг) Sidecar удирддаг тул Sidecar хяналтыг авахаас өмнө одоо байгаа NXLog service-ийг идэвхгүй болгох шаардлагатай.

```
sudo service nxlog stop
sudo chkconfig --del nxlog
sudo gpasswd -a nxlog root
sudo chown -R nxlog.nxlog /var/spool/nxlog
```

Windows дээр

Windows системд NXLog суулгахын тулд дараах алхмуудыг хийнэ:

NXLog багцыг татаж авч суулгана.
Системийн service-ийг идэвхгүй болгоно.

Sidecar-тай ашиглахад зөвхөн NXLog-ийн binary файлууд хэрэгтэй. Дараах командыг ажиллуулна:

"C:\Program Files\nxlog\nxlog" -u

Зөвлөмж: PowerShell ашиглаж байгаа бол командын өмнө & нэмнэ.

Программын өгөгдөл цуглуулах (Ingest application data)

Программын өгөгдлийг технологийн стек болон ашиглаж буй логийн framework-оос хамаарч янз бүрийн аргаар хүлээн авч болно. Тохиргоо практикт хэрхэн ажилладгийг харуулахын тулд энэ нийтлэлд Ruby on Rails программаас Security Data Lake руу лог илгээхээр тохируулах жишээг үзүүлнэ.

Ruby on Rails

Ruby on Rails-ийг Security Data Lake-тэй нэгтгэхдээ Lograge болон GELF gem ашиглан бүтэцтэй лог өгөгдөл илгээхээр программаа тохируулна.

Бүх хүсэлт болон logger дуудлагыг логлох

Хүсэлт бүрийн бүтэцтэй мэдээлэл (HTTP буцаах код, controller-ийн нэр, action зэрэг) болон Rails.logger-ийн тодорхой дуудлагуудыг илгээх зөвлөмж болгосон арга бол GELF гаралттай Lograge ашиглах явдал юм.

Lograge нь хүсэлт бүрийг (Rails-ийн анхдагч logger үүсгэдэг олон мөрийн оронд) нэг бүтэцтэй лог бичлэг болгон нэгтгэдэг бөгөөд 0.2.0 хувилбараас эхлэн Security Data Lake гаралтыг дэмждэг.

Хүсэлт болон логийн өгөгдлийг Security Data Lake руу илгээхээр Lograge болон GELF-ийг тохируулахын тулд дараах алхмуудыг хийнэ:

Lograge болон GELF gem-ийг Gemfile-даа нэмнэ:

```
gem "gelf"
gem "lograge"
```

Хоёуланг нь Rails программдаа тохируулна. Энэ тохиргоог config/environments/production.rb дотор нэмэхийг зөвлөж байна:

```
config.lograge.enabled = true
config.lograge.formatter = Lograge::Formatters::Graylog2.new
config.logger = GELF::Logger.new(
"datainsights.example.org",
12201,
"WAN",
{ host: "hostname-of-this-app", facility: "heroku" }
)
```

Энэ тохиргоогоор хүсэлтийн лог болон logger-ийн тодорхой дуудлагууд (жишээ нь Rails.logger.error "Something went wrong") хоёулаа Security Data Lake руу илгээгдэнэ.

Зөвхөн тодорхой logger дуудлагыг логлох

Бүх хүсэлтийг биш, зөвхөн logger-ийн тодорхой дуудлагуудыг логлохыг хүсвэл зөвхөн GELF logger-ийг тохируулна:

GELF gem-ийг Gemfile-даа нэмнэ:

```
gem "gelf"
```

GELF logger-ийг Rails программдаа тохируулна. Энэ тохиргоог config/environments/production.rb дотор нэмэхийг зөвлөж байна:

```
config.logger = GELF::Logger.new(
"datainsights.example.org",
12201,
"WAN",
{ host: "hostname-of-this-app", facility: "heroku" }
)
```

Тэмдэглэл: Энэ тохиргоо нь зөвхөн Rails.logger-ээр тодорхой бичсэн мессежүүдийг Security Data Lake руу илгээнэ.

Heroku

Heroku нь анхдагчаар өөрийн logger-ийг (rails_log_stdout) оруулдаг бөгөөд энэ нь өөрийн тохируулсан logger-ийн тохиргоог дарж бичдэг. Heroku дээр GELF-тэй өөрийн логийг идэвхжүүлэхийн тулд Heroku урьд нь байгаа logger-ийг илрүүлэхээр түр файл (dummy file) үүсгэнэ:

$ touch vendor/plugins/rails_log_stdout/heroku_fix

Энэ шийдэл нь Heroku таны logger-ийг солихоос сэргийлж, Rails-д GELF-ээр дамжуулан Security Data Lake руу лог дамжуулах боломж олгоно.

Файлаас өгөгдөл цуглуулах (Ingest from files)

Лог файлууд олон янзын форматтай байдаг тул задлан шинжилж (parse), нэг хэлбэрт оруулахад (normalize) хэцүү байж болно.

Ийм учраас Security Data Lake лог файлуудыг шууд цуглуулдаггүй. Харин янз бүрийн систем, программаас лог цуглуулахад зориулагдсан олон төрлийн цуглуулагч, агентуудад тулгуурладаг.

Цуглуулагчид дараах байдлаар ажиллаж болно:

Таны орчинд байгаа тохиргооны удирдлагын хэрэгслүүдээр тохируулж удирдах.
Sidecar-аар (суулгаж тохируулсны дараа) төвлөрүүлэн удирдаж, хянах.
Хүсвэл бие даасан (standalone) суулгалтад гараар тохируулах.

Мөн GELF эсвэл Syslog протоколыг дэмждэг аль ч программыг Security Data Lake руу лог илгээхэд ашиглаж болно.

Windows болон Linux системд хамгийн үр дүнтэй бөгөөд өргөн зөвлөдөг цуглуулагчдын нэг нь Filebeat юм. Filebeat нь лог файлыг уншаад төв хүлээн авагч руу дамжуулахаар зохиогдсон. Security Data Lake руу лог өгөгдөл илгээхийн тулд Filebeat-ийг Security Data Lake-ийн Beats input-тэй холбогддог Logstash гаралт (output) ашиглахаар тохируулна.

Linux-д зориулсан Filebeat тохиргооны жишээ

fields_under_root: true
fields.collector_node_id: ${sidecar.nodeName}
fields.gl2_source_collector: ${sidecar.nodeId}

filebeat.inputs:
  - type: filestream
    id: var-log
    paths:
      - /var/log/*.log

output.logstash:
  hosts: ["<forwarder_ip>:5044"]

path:
  data: /var/lib/bitdefender-sidecar/collectors/filebeat/data
  logs: /var/lib/bitdefender-sidecar/collectors/filebeat/log

Windows-д зориулсан Filebeat тохиргооны жишээ

fields_under_root: true
fields.collector_node_id: ${sidecar.nodeName}
fields.gl2_source_collector: ${sidecar.nodeId}

output.logstash:
  hosts: ["<forwarder_ip>:5044"]

path:
  data: C:\Program Files\Bitdefender\sidecar\cache\filebeat\data
  logs: C:\Program Files\Bitdefender\sidecar\logs

tags:
  - windows

filebeat.inputs:
  - type: filestream
    id: c-log-log
    paths:
      - C:\logs\log.log

Windows event лог цуглуулах (Ingest Windows event logs)

Зарим лог цуглуулах агент Windows event логийг Syslog-оор илгээж чаддаг бол зарим нь өөрийн протоколоор дамжуулдаг. Security Data Lake хоёр аргыг хоёуланг нь дэмждэг: Syslog-оор лог дамжуулдаг агентуудаас болон Graylog Extended Log Format (GELF) протокол ашигладаг агентуудаас өгөгдөл хүлээн авч чадна.

Гайхалтай жишээ нь NXLog Community Edition бөгөөд Windows event логийг локалаар уншиж GELF-ээр Security Data Lake руу дамжуулах боломжтой тул энгийн бөгөөд найдвартай нэгтгэх арга болдог.

Гэхдээ Windows event лог цуглуулахад Winlogbeat ашиглахыг зөвлөдөг. Энэ нь Windows event өгөгдлийг Security Data Lake руу оруулах хамгийн найдвартай бөгөөд өргөн хэрэглэгддэг арга хэвээр байна.

Цуглуулагчдыг өөрийн орчинд байгаа ямар ч тохиргооны удирдлагын хэрэгслээр гараар тохируулж болно. Эсвэл Sidecar ашиглан цуглуулагчдыг төвлөрүүлэн тохируулж удирдаж болно. Хүсвэл гараар суулгаж тохируулахыг мөн дэмжинэ.

Мессежийг Security Data Lake руу оруулахын тулд өгөгдөл илгээж буй цуглуулагчийн төрөлд тохирсон input үүсгэх ёстой. Input нь Security Data Lake ирж буй лог мессежийг хэрхэн хүлээн авч боловсруулахыг тодорхойлно.

Жишээ нь:

NXLog ашиглаж байгаа бол GELF input тохируулна.
Winlogbeat ашиглаж байгаа бол Beats input тохируулна.

Доор шуугианыг багасгаж, мөн бүрэн, хэрэгтэй event мэдээллийг өгөх Winlogbeat тохиргооны жишээг үзүүлэв:

fields_under_root: true
fields.collector_node_id: ${sidecar.nodeName}
fields.gl2_source_collector: ${sidecar.nodeId}

output.logstash:
  hosts: ["<forwarder_ip>:5044"]

winlogbeat.event_logs:
  - name: Application
    level: critical, error, warning
    ignore_older: 48h
  - name: Security
    processors:
        - drop_event.when.not.or:
            - equals.event_id: 129
            - equals.event_id: 141
            - equals.event_id: 1102
            - equals.event_id: 4648
            - equals.event_id: 4657
            - equals.event_id: 4688
            - equals.event_id: 4697
            - equals.event_id: 4698
            - equals.event_id: 4720
            - equals.event_id: 4738
            - equals.event_id: 4767
            - equals.event_id: 4728
            - equals.event_id: 4732
            - equals.event_id: 4634
            - equals.event_id: 4735
            - equals.event_id: 4740
            - equals.event_id: 4756
    level: critical, error, warning, information
    ignore_older: 48h
  - name: System
    processors:
        - drop_event.when.not.or:
            - equals.event_id: 129
            - equals.event_id: 1022
            - equals.event_id: 1033
            - equals.event_id: 1034
            - equals.event_id: 4624
            - equals.event_id: 4625
            - equals.event_id: 4633
            - equals.event_id: 4719
            - equals.event_id: 4738
            - equals.event_id: 7000
            - equals.event_id: 7022
            - equals.event_id: 7024
            - equals.event_id: 7031
            - equals.event_id: 7034-7036
            - equals.event_id: 7040
            - equals.event_id: 7045
    level: critical, error, warning
    ignore_older: 48h

Sidecar-уудыг удирдах (Managing sidecars)

Sidecar instance-уудаа System > Configurations > Sidecars хэсгээс удирдаж, хянаж болно.

Sidecar суулгагдаж ажиллаж эхэлмэгц энэ хуудсанд одоогийн төлөвийн хамт харагдана. Sidecar instance бүр өөрийн эрүүл мэнд, тохиргооны дэлгэрэнгүйг Security Data Lake руу мэдээлдэг тул цуглуулагчид холбогдсон, зөв ажиллаж байгаа эсэхийг шалгах боломжтой.

Тэмдэглэл: Хуучирсан эсвэл холболт нь тасарсан sidecar-ууд 14 хоног идэвхгүй байвал жагсаалтаас автоматаар устгагдана. Энэ анхдагч хадгалах хугацааг Sidecars хуудаснаас өөрчилж болно.

Тодорхой sidecar-ийн дэлгэрэнгүй мэдээллийг харахын тулд Node details дор түүний бичлэг дээр дарна. Ингэснээр тухайн sidecar-ийн мэдээлсэн тохиргооны параметр, идэвхтэй цуглуулагчид болон бусад ажиллах үеийн мэдээлэл бүхий тусгай төлвийн хуудас нээгдэнэ.

Алдаа хянах (Failure tracking)

Олон sidecar-тай том нэвтрүүлэлтэд цуглуулагч тус бүрийн алдааны шалтгааныг олоход цаг их орно. Алдаа олж засахыг хөнгөвчлөхийн тулд Security Data Lake нь Sidecars интерфейст Failure Tracking хуудастай.

Хайх, эрэмбэлэх боломжтой энэ хуудас нь цуглуулагч бүрийг нэр, төлөв, алдааны мессеж, дэлгэрэнгүй (verbose) алдааны мессежийн хамт жагсаадаг тул администратор олон sidecar дахь асуудлыг хурдан илрүүлж засах боломжтой.

Хувьсагч үүсгэх ба засах

Өөр нэг хялбар арга нь хувьсагч тодорхойлох бөгөөд тэдгээрийг цуглуулагчийн тохиргоог үүсгэх эсвэл засахдаа дахин ашиглаж болно. Ингэснээр нэг утгыг олон удаа гараар оруулах шаардлагагүй. Жишээ нь сүлжээндээ байрлуулсан Forwarder-ийн IP хаяг бүхий ${user.forwarder_host} хувьсагч тодорхойлоод олон тохиргоонд ашиглаж болно.

Тохиргооны хувьсагч үүсгэхийн тулд дараах алхмуудыг хийнэ:

Тохиргооны Edit-ийг сонгоно.

Тохиргооны хуудасны Collector Configuration Reference хэсэгт Variables табыг дараад Create variable-ийг сонгоно.

Харилцах цонхонд Name болон (заавал биш) Description-ийг оруулж, мөн Content талбарт хувьсагчийн утгыг (дээрх жишээн дэх forwarder-ийн IP хаяг гэх мэт) бичнэ.

Дууссаны дараа Save дээр дарна.

Үүний дараа тохиргооны бусад файлд утгыг дахин гараар бичихийн оронд хувьсагчийг (жишээ нь ${user.forwarder_host}) ашиглаж болно.

Холболтыг аюулгүй болгох

Цуглуулагч болон Security Data Lake хоорондын холболтыг хамгаалахын тулд input тохиргоондоо TLS-ийг идэвхжүүлнэ. Жишээ нь Beats input тохируулахдаа Enable TLS-ийг сонгоно. Ингэснээр Security Data Lake тухайн input-д зориулан өөрөө гарын үсэг зурсан (self-signed) сертификат үүсгэж, цуглуулагч болон Security Data Lake серверийн хоорондох өгөгдлийн дамжуулалтыг шифрлэнэ.

Tag оноох

Tag ашиглан цуглуулагчийн тохиргоо хост бүрд хэрхэн оноогдохыг удирдаж болно. Tag нь endpoint бүр ямар тохиргоо хүлээн авахыг тодорхойлно.

Жишээ нь Apache access лог цуглуулах тохиргоо үүсгээд түүнд apache tag онооно. Ижил apache tag-тай вэб сервер дээр ажиллаж буй аль ч Sidecar instance энэ тохиргоог автоматаар татаж хэрэглэн вэб хандалтын логийг цуглуулж Security Data Lake руу дамжуулна.

Endpoint дээрх Sidecar YAML тохиргооны файлын тухайн хэсэг ердийн байдлаар дараах хэлбэртэй байна:

# A list of tags to assign to this Sidecar. Collector configuration matching any of these tags will automatically be
# applied to the Sidecar.
# Example:
# tags:
# - apache-logs
# - dns-logs

Endpoint дээр системийн tag хэрэглэгдмэгц тэр автоматаар лог цуглуулж Security Data Lake руу дамжуулж эхэлнэ.

Энэ боломж нь YAML файлдаа харгалзах tag-тай шинэ клиентүүдэд цуглуулагчийн тохиргоог автоматаар оноож, тохиргооны удирдлагыг хялбаршуулна.

Tag-ийг Windows Server, Windows Workstation, Linux систем зэрэг аль ч endpoint дээр тодорхойлж болох бөгөөд Winlogbeat, Filebeat, Metricbeat, NXLog зэрэг өөр өөр цуглуулагчдад ашиглаж болно.

Sidecar нь нэг endpoint-д олон цуглуулагчийн тохиргоо оноохыг мөн дэмждэг. Жишээ нь Windows клиентэд winlogbeat болон sysmon tag-ийн тохиргоог зэрэг хэрэглэж болно.

Зөвлөмж: Системийн интерфейсээр амархан тодорхойлох боломжгүй цуглуулагчийн тохиргооны нэмэлт дэлгэрэнгүйг snippet ашиглан оруулж болно.

Snippet нь бүхэл тохиргоог (жишээ нь NXLog-ийн тохиргоо) агуулах эсвэл одоо байгаа input, output тодорхойлолтыг өргөтгөж болно.

Бүх snippet нь тэдгээрийн input, output өмнө нь тодорхойлогдсон эсэхээс үл хамааран үүсгэсэн цуглуулагчийн тохиргоонд шууд орно.

Алдаа олж засварлах (Troubleshooting)

Sidecar нь лог файлуудаа log_path тохиргооны параметрт заасан хавтсанд бичнэ. Backend (цуглуулагч) бүр өөрийн лог файлтай бөгөөд файлын зөвшөөрлийн алдаа, лог дамжуулалтын асуудал зэргийг тэндээс шалгаж болно.

Sidecar өөрөө ерөнхий үйл ажиллагааны мессежүүд агуулсан sidecar.log нэртэй файлд бичдэг. failed connection to the Security Data Lake API зэрэг алдаа ихэвчлэн энэ файлд бүртгэгдэнэ.

Мөн sidecar-ийг debug гаралттай foreground горимд эхлүүлж, үйл ажиллагааг бодит цагт хянаж болно:

bitdefender-sidecar -debug

Энэ команд нь холболтын асуудал, тохиргооны алдаа, цуглуулагч эхлэхэд гарсан асуудлыг олж засахад хэрэгтэй.

Устгах

Sidecar-ийг устгах үйл явц нь суулгасан үйлдлийн системээс хамаарч өөр байна.

Linux

Linux системд багц удирдагчаараа багцыг устгахад хангалттай. Жишээ нь:

sudo apt-get remove bitdefender-sidecar

эсвэл

sudo yum remove bitdefender-sidecar

Windows

Windows системд Sidecar service-ийг зогсоож устгахын тулд дараах командуудыг ажиллуулна:

"C:\Program Files\Bitdefender\bitdefender-sidecar.exe" -service stop
"C:\Program Files\Bitdefender\bitdefender-sidecar.exe" -service uninstall

Тэмдэглэл: PowerShell ашиглаж байгаа бол команд бүрийн өмнө & нэмнэ.

Эдгээр командыг ажиллуулсны дараа sidecar хавтсыг шаардлагагүй бол аюулгүйгээр устгаж болно.

Энэ хуудсанд гарсан нэр томъёо

Endpoint: Хамгаалж буй компьютер, сервер, виртуал машин

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.

Sidecar гэж юу вэ, Security Data Lake-д лог цуглуулагчдыг хэрхэн тохируулах вэ?

Sidecar-ийн архитектур

Sidecar суулгах

1. Security Data Lake дээр sidecar тохируулах

1.1 Input тохируулах

1.2 API token үүсгэх

1.3 Sidecar татаж авах

2. Локал орчноо бэлтгэх

Windows

Интерактив суулгалт

Чимээгүй суулгалт

Sidecar service-ийг эхлүүлэх

Winlogbeat цуглуулагчийн тохиргоо нэмэх

Linux - Хост машиныг бэлтгэх

sidecar.yml тохиргооны лавлах

Bitdefender Sidecar releases

Bitdefender Sidecar 1.5.6

Гарсан огноо

Татах холбоосууд

Sidecar collectors

Анхдагч цуглуулагчид

Анхдагч цуглуулагчдыг засах

Өөрийн цуглуулагчид (Custom collectors)

NXLog суулгах

Ubuntu дээр

CentOS дээр

Windows дээр

Программын өгөгдөл цуглуулах (Ingest application data)

Бүх хүсэлт болон logger дуудлагыг логлох

Зөвхөн тодорхой logger дуудлагыг логлох

Heroku

Файлаас өгөгдөл цуглуулах (Ingest from files)

Windows event лог цуглуулах (Ingest Windows event logs)

Sidecar-уудыг удирдах (Managing sidecars)

Алдаа хянах (Failure tracking)

Хувьсагч үүсгэх ба засах

Холболтыг аюулгүй болгох

Tag оноох

Алдаа олж засварлах (Troubleshooting)

Устгах

Linux

Windows

`sidecar.yml` тохиргооны лавлах