Linux System content pack (контент багц)

← Контент багцууд

Linux System content pack (контент багц)

Linux нь сервер, үүлэн дэд бүтэц, ширээний систем, суулгагдсан төхөөрөмж зэрэг бүхнийг ажиллуулдаг, өргөн дэлгэрсэн нээлттэй эхийн үйлдлийн систем юм.

Энэхүү технологийн багц нь Debian/Ubuntu Linux дистрибүүшнүүдэд зориулсан нийтлэг логийг задлан шинжлэх, нормчлох, баяжуулах боломжийг олгоно.

Дэмжигдэх дистрибүүшнүүд

• Ubuntu 20.04 LTS (Focal Fossa) болон 22.04 LTS (Jammy Jellyfish)
• Debian 11 (bullseye) болон 12 (bookworm)

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

"Illuminate:Linux System Messages"

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

"Linux System Logs"

Лог цуглуулалт

Энэ багц голчлон /var/log директор дор syslog болон auth.log руу бичигдсэн логуудыг задлан шинжилнэ.

Лог хүргэх дараах аргуудыг зөвлөж байна:

• rsyslog, syslog-ng зэрэг Syslog daemon-ууд
• Filebeat (Bitdefender Sidecar-тай хамт)

Rsyslog-ийн тохиргоо

1. 1
   Security Data Lake дотор syslog input үүсгэнэ. Input үүсгэх, тохируулах талаар дэлгэрэнгүйг Syslog Inputs хэсгээс үзнэ үү.
2. 2
   /var/log дор байгаа логуудыг Security Data Lake руу илгээхээр rsyslog-ийг тохируулна. Багц голчлон эдгээр лог эх сурвалжид чиглэдэг тул syslog болон auth.log-оос ирсэн мессежүүдийг тусгайлан дамжуулж болно.
3. 3
   Parser танихын тулд логуудыг Linux лог гэж тодорхойлдог өөрийн template үүсгэнэ.

Хамгийн энгийн арга нь syslog мессежийн structured data хэсэгт event_source_product талбарыг linux гэж тохируулах явдал юм. Доорх template тохиргооны жишээг үзнэ үү:

template(
  name="custom_linux_syslog_5424"
  type="string"
  string="<%PRI%>1 %TIMESTAMP:::date-rfc3339% %HOSTNAME% %APP-NAME% %PROCID% %MSGID% [exampleSDID@12345 event_source_product=\"linux\"]%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%\n"
)
*.* action(type="omfwd" target="YOUR GRAYLOG SERVER" port="514" protocol="tcp" template="custom_linux_syslog_5424")

Syslog-ng-ийн тохиргоо

1. 1
   Security Data Lake дотор syslog input үүсгэнэ. Input үүсгэх, тохируулах талаар дэлгэрэнгүйг Syslog Inputs хэсгээс үзнэ үү.
2. 2
   Illuminate логуудыг Linux лог гэж таньж боловсруулахын тулд syslog-ng тохиргоо нь мессеж бүрд event_source_product талбарыг нэмсэн байх ёстой.
3. 3
   Тохиргоог rewrite функц ашиглан өөрийн event_source_product талбарыг linux болгож тохируулахаар өөрчилнө. Тохиргооны Destinations хэсэг дэх дараах жишээг үзнэ үү:

########################
# Destinations
########################
# Set custom field using rewrite.
rewrite custom_field { set("linux" value(".SDATA.meta.event_source_product")); };
# Define TCP syslog destination.
destination d_sdl { syslog("<forwarder_hostname_or_ip>" port(514)); };

4. 4
   Log paths хэсэгт source, rewrite, destination-ийг тодорхойлно. Энэ жишээ өмнөх алхамд тохируулсан тохиргоонуудыг иш татсан:

########################
# Log paths
########################
# Send from the default source s_src to the custom destination d_sdl using the intermediary rewrite as configured above.
log { source(s_src); rewrite(custom_field); destination(d_sdl); };

Filebeat-ийн тохиргоо

Filebeat-д зориулж Bitdefender Sidecar-ыг тохируулах талаар Sidecars хэсгээс үзнэ үү.

1. 1
   Security Data Lake дотор Beats input үүсгэнэ. Input-ийн тохиргоонд Do not add Beats type as prefix сонгогдоогүй эсэхийг шалгана. Beats input-ийн тохиргооны талаар дэлгэрэнгүйг Beats input хэсгээс үзнэ үү.
2. 2
   API access token болон өөрийн Linux Filebeat collector үүсгэнэ.
3. 3
   Collector-ыг syslog болон auth.log-ийн мессежийг Security Data Lake руу илгээхээр тохируулна. Parser лог эх сурвалжийг Linux гэж таниулахын тулд Filebeat input нь event_source_product талбарыг linux утгатайгаар нэмэх ёстой.
4. 4
   Нэмж хэлэхэд, мессежийг таних ажиллагаа хийгдэхийн тулд fields_under_root сонголтыг true болгож тохируулах ёстой. Доорх жишээг үзнэ үү:

- input_type: log
  paths:
    - /var/log/auth.log
    - /var/log/syslog
  type: filestream
  fields_under_root: true
  fields:
    event_source_product: linux

5. 5
   Клиент дээр Bitdefender Sidecar-ыг суулгана.
6. 6
   Bitdefender Sidecar клиентийн тохиргоог өөрийн Security Data Lake URL болон API access token-оор засварлана. Bitdefender Sidecar-ыг тохируулах талаар дэлгэрэнгүйг Installing Sidecar хэсгээс үзнэ үү.

Юу багтсан бэ

• Linux системийн лог мессежийг задлан шинжлэх, нормчлох, баяжуулах дүрмүүд
• Сонирхол татах үйл явдал, статистикийг харуулсан dashboard

Энэ технологийн багцаар боловсруулагдах үйл явдлууд

Linux System Logs контент багц нь дараах лог төрлүүдийг дэмжинэ. Жагсаалтад ороогүй лог төрлүүдэд ерөнхий боловсруулалт хийгдэнэ.

• SSH Logs
• Sudo Logs
• Su Logs
• PAM Logs
• Systemd Logs
• Cron Logs
• UFW Logs
• Iptables Logs
• User Activity Logs
• Group Activity Logs

GIM ангилал

GIM ангиллыг дараах мессежүүдэд өгнө:

Энэ багцад багтсан мессежийн талбарууд

Ерөнхий задлан шинжилгээ (General parsing)

SSH

Sudo

Su

PAM

Systemd

Cron

Хэрэглэгч ба бүлгийн үйл ажиллагаа (User and group activity)

UFW

Iptables

Linux System Logs Spotlight content pack

Spotlight контент багц нь дараах табуудыг агуулна: Linux System Overview, SSH, Sudo, Users and Groups.