Caddy Webserver content pack (контент багц)

← Контент багцууд

Энэ контент багц нь Ubuntu системд ажилладаг Caddy вэб серверүүдэд зориулагдсан. Энэ нь Caddy access логийг задална.

Дэмжигдэх хувилбарууд

Caddy 2.7.x хувилбараар туршсан.

Шаардлага

• Лог дамжуулалтыг зөвхөн Filebeat болон Bitdefender Sidecar ашиглан дэмжинэ.
• Багц нь зөвхөн Ubuntu болон ижил зам, файлын бүтэцтэй Linux хувилбаруудыг дэмжинэ.
• Багц нь зөвхөн Ubuntu-н стандарт лог хавтсыг дэмжинэ.

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

"Illuminate:Caddy Webserver Messages"

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

"Caddy Webserver Logs"

Юу багтсан бэ

Caddy Webserver логийг Security Data Lake схемтэй нийцтэй талбарууд болгон задлах parsing дүрмүүд. Caddy Webserver логууд GIM code 180200 (http.communication)-ийг авна.

Лог форматын жишээ

Access logs

"level":"info","ts":1743966522.1211624,"logger":"http.log.access","msg":"handled request","request":{"remote_ip":"192.168.156.55","remote_port":"60128","client_ip":"192.168.156.34","proto":"HTTP/1.1","method":"GET","host":"20.20.232.216:80","uri":"/","headers":{"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.85 Safari/537.36 Edg/90.0.818.46"],"Accept-Encoding":["gzip, deflate","gzip, deflate"],"Connection":["keep-alive"],"Content-Type":["application/x-www-form-urlencoded; charset=UTF-8"],"Accept":["/"],"X-Requested-With":["XMLHttpRequest"],"Accept-Language":["en US,en;q=0.9,sv;q=0.8"]}},"bytes_read":110,"user_id":"","duration":0.000018081,"size":20,"status":308,"resp_headers":{"Server":["Caddy"],"Connection":["close"],"Location":["https://20.20.222.216/"],"Content-Type":[]}

Filebeat болон Bitdefender Sidecar-аар лог оруулах

Security Data Lake сервер болон клиент(үүд)-ээ тохируулахын тулд Sidecar documentation-ийг үзнэ үү.

1. 1
   Beats input үүсгэх.
2. 2
   Security Data Lake REST API token үүсгэж хадгалах.
3. 3
   Bitdefender Sidecar суулгах.
4. 4
   Клиент(үүд)-ээ нэмэх, жишээ нь вэб сервер.

Эдгээр алхмыг доорх хэсгүүдэд тайлбарлав.

Security Data Lake-ийн тохиргоо

1. 1
   Security Data Lake дотор Beats input үүсгэнэ. Input-ыг хэрхэн үүсгэж тохируулах талаар Beats input хэсгийг үзнэ үү.
2. 2
   Security Data Lake REST API access token үүсгэж хадгална. Дэлгэрэнгүйг Installing Sidecar (Section 1.2, Create an API token) хэсгээс үзнэ үү.
3. 3
   System > Sidecars > Configuration хэсэгт filebeat on Linux collector ашиглан (Linux) filebeat тохиргоо үүсгэнэ.
4. 4
   Файлыг тохируулж дараахыг нэмнэ:

   • hosts дор зөв IP хаяг.

   Анхаар

   Та Forwarder-ийн IP хаяг болон Beats input profile-д тодорхойлсон port-ыг оруулах ёстой.

   • Лог эх сурвалжийг хүссэн утгаар тохируулж, event_source_product талбарт caddy_webserver утга оруулна.

filebeat.inputs:
- input_type: log
  paths:
    - /var/log/caddy/*
  type: filestream
  fields_under_root: true
  fields:
    event_source_product: caddy_webserver

Энэ тохиргоо нь - /var/log/caddy/* хавтас дахь бүх логийг цуглуулна. Шаардлагатай бол Caddy тохиргооны файлыг логийг локал хадгалахаар тохируулж, хүссэн замыг сонгоно.

5. 5
   Тохиргоог хадгалж суулгацыг дуусгана.

Filebeat болон Security Data Lake Sidecar-тай клиентийг тохируулах

1. 1
   Bitdefender Sidecar-ийг суулгаж, идэвхжүүлж, шалгана. Дэлгэрэнгүйг Installing Sidecar хэсгээс үзнэ үү.
2. 2
   Filebeat-ийг албан ёсны баримт бичгийн зааврын дагуу суулгана. Эсвэл Filebeat-ийн зөвхөн OSS хувилбарыг татаж суулгаж болно.

   • Filebeat-ийг гараар суулгаж байгаа бол суулгах хавтас болгон /etc/filebeat-ийг ашиглана.
   • Хэрэв apt-get-ээр суулгавал зөв хавтас автоматаар сонгогдоно.

Ubuntu-д зориулсан командын жишээ:

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
sudo apt-get install apt-transport-https
echo "deb https://artifacts.elastic.co/packages/oss-8.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-8.x.list
sudo apt-get update && sudo apt-get install filebeat
sudo systemctl enable filebeat
sudo systemctl start filebeat
sudo systemctl status filebeat

3. 3
   (Заавал биш) Шаардлагатай бол filebeat.yml файлыг засна. Үүнийг Security Data Lake интерфэйс дэх Sidecar тохиргоогоор хийнэ.
4. 4
   Daemon-ыг ажиллуулна.

Хэрэв зөвшөөрлийн (permission) асуудал гарвал дараах командыг ажиллуулж шийдэж болно:

sudo chown root filebeat.yml

5. 5
   Security Data Lake дотор өөрийн машинд тохиргоог оноож өгнө.

Талбарын холбоос (Field mapping)

Талбаруудын жагсаалт.

Caddy Webserver Spotlight content pack

Caddy Webserver нь нэг табтай dashboard санал болгоно: Caddy Webserver Overview.