NGINX content pack (контент багц)

← Контент багцууд

NGINX content pack (контент багц)

NGINX нь Linux системд ажилладаг HTTP сервер юм. Үүнийг анх Igor Sysoev бичиж, 2004 онд олон нийтэд гаргасан.

Энэ багц NGINX-ийн хандалтын лог (access log) болон алдааны логийг (error log) задлан, тохируулна. Логийн үндсэн байршил: /var/log/nginx/.

Шаардлага

• Энэ багц combined log format ашигласан тохиолдолд NGINX-ийн бүх хувилбартай ажиллана.
• Лог хавтас access.log гэж нэрлэгдсэн байх ёстой.
• Логийг хүргэхэд Filebeat (Sidecar-тай) эсвэл rsyslog-ийн аль нэг шаардлагатай.

Юу багтсан бэ

Энэ багц Nginx логийг Security Data Lake схемтэй нийцтэй талбарууд руу хөрвүүлэх parsing дүрмүүдийг агуулна. Nginx хандалтын логт GIM код 180200 олгогдоно.

Filebeat болон Bitdefender Sidecar-аар input хийх

Security Data Lake сервер болон клиентүүдээ тохируулахдаа Sidecar-ийн баримт бичгийг үзнэ үү.

Дараах алхмуудыг хийх шаардлагатай:

1. 1
   Beats input үүсгэх.
2. 2
   Security Data Lake REST API token үүсгэж хадгалах.
3. 3
   Bitdefender Sidecar суулгах.
4. 4
   Клиент(үүд)ээ нэмэх, жишээ нь вэб сервер.

Security Data Lake-ийн тохиргоо

1. 1
   Security Data Lake дотор Beats input үүсгэнэ. Энэ Bitdefender Forwarder input-ийг хэрхэн үүсгэж, тохируулах талаар Beats input хэсгийг үзнэ үү.
2. 2
   Security Data Lake REST API access token үүсгэж хадгална. Дэлгэрэнгүйг Installing Sidecar (1.2 хэсэг, Create an API token)-оос үзнэ үү.
3. 3
   System > Sidecars > Configuration цэсэнд filebeat on Linux collector ашиглан (Linux) filebeat тохиргоо үүсгэнэ.
4. 4
   Файлыг тохируулж, дараахыг нэмнэ:

   • hosts дор зөв IP.

   Анхаар

   Та Bitdefender Forwarder-ийн IP болон Beats input profile-д тодорхойлсон портыг оруулах ёстой.

   • Лог эх сурвалжийг хүссэн утгад тохируулж, event_source_product талбарт nginx-web утга оруулна.

filebeat.inputs:
- input_type: log
  paths:
    - /var/log/nginx/access.log
    - /var/log/nginx/error.log
  type: filestream
  fields_under_root: true
  fields:
    event_source_product: nginx-web

5. 5
   Тохиргоог хадгалж, тохируулгыг дуусгана.

Клиентийг Filebeat болон Bitdefender Sidecar-аар тохируулах

1. 1
   Алсын машин дээр Bitdefender Sidecar-ыг суулгаж, идэвхжүүлж, шалгана. Дэлгэрэнгүйг Installing Sidecar хэсгээс үзнэ үү.
2. 2
   Filebeat-ийг албан ёсны баримт бичгийн заавраар суулгана. Эсвэл Filebeat-ийн зөвхөн OSS хувилбарыг татаж аван суулгаж болно.

   • Filebeat-ийг гараар суулгавал суулгах хавтас болгон /etc/filebeat-ийг ашиглана.
   • apt-get-ээр суулгавал зөв хавтас автоматаар сонгогдоно.

   Ubuntu-д зориулсан жишээ командууд:

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
sudo apt-get install apt-transport-https
echo "deb https://artifacts.elastic.co/packages/oss-8.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-8.x.list
sudo apt-get update && sudo apt-get install filebeat
sudo systemctl enable filebeat
sudo systemctl start filebeat
sudo systemctl status filebeat

3. 3
   (Заавал биш) Шаардлагатай бол filebeat.yml файлыг засна. Үүнийг Security Data Lake интерфейс доторх Sidecar тохиргоогоор хийж болно.
4. 4
   Daemon-ийг эхлүүлнэ. Хэрэв зөвшөөрлийн (permission) асуудал гарвал дараах командыг ажиллуулж шийдэж болно:

sudo chown root filebeat.yml

5. 5
   (Зөвлөмж) Filebeat-ийг дахин ачаалсны дараа автоматаар эхлэхээр тохируулна.
6. 6
   Security Data Lake дотор Sidecar суулгасан машинд тохиргоо оноож өгнө. Үүнийг System > Sidecars > Administration-аас хийж болно.

rsyslog-оор input хийх шаардлага

• Forwarder input profile дор тохируулсан Syslog UDP эсвэл Syslog TCP input.
• rsyslog-ийг албан ёсны баримт бичгийн заавраар суулгах.
• Тохируулсан rsyslog.conf файл.

Дараах тохиргооны жишээ нь IP 192.168.122.40, порт 1544 дээрх UDP input-д зориулагдсан. Энэ хэсгийг файлын MODULES хэсгийн доор нэмнэ:

# provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 1544
*.* @192.168.122.40:1544;RSYSLOG_SyslogProtocol23Format

Дараах тохиргооны хэсгийг rsyslog.conf файлын төгсгөлд нэмэх эсвэл тусдаа тохиргооны файл болгон хадгална:

module(load="imfile" PollingInterval="10" statefile.directory="/var/spool/rsyslog")
input(type="imfile"
      File="/var/log/nginx/access.log"
      Tag="nginx_web_http_access"
      Severity="info"
      Facility="local6")
input(type="imfile"
      File="/var/log/nginx/error.log"
      Tag="nginx_web_http_error"
      Severity="info"
      Facility="local6")
local6.access        @192.168.122.40:1544

rsyslog суулгасны дараа систем, kernel болон бусад логийг бичдэг үндсэн дүрмүүд (жишээ нь 50-default.conf) идэвхтэй байж болно. Шаардлагагүй бол тэдгээрийг идэвхгүй болгоно уу.

Ubuntu дээр үйлчилгээг дахин эхлүүлэхэд энэ командыг ашиглана:

sudo systemctl restart rsyslog

Төлвийг дараах командаар шалгаж болно:

sudo systemctl status rsyslog

Улаан мөрүүд асуудал байгааг илтгэж болохыг анхаараарай. Заримдаа системийг бүрэн дахин ачаалах шаардлагатай.

Туршсан rsyslog хувилбар: 8.2212.0

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

• "Illuminate:Nginx_web Messages"

Хэрэв энэ нэртэй stream өмнө нь тодорхойлогдсон бол юу ч өөрчлөгдөхгүй. Байхгүй бол үүсгэгдэнэ.

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

• "NGINX_web Logs"

Хэрэв энэ index set өмнө нь тодорхойлогдсон бол юу ч өөрчлөгдөхгүй. Байхгүй бол таны лицензийн эрхийн дагуу үүсгэгдэнэ.

Лог форматын жишээ

Access Logs version 1.18:

127.0.0.1 - - [04/Mar/2023:19:25:07 -0600] "GET / HTTP/1.1" 200 3543 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/109.0"

Access Logs version 1.24:

127.0.0.1 - - [13/Sep/2023:08:34:54 -0500] "GET / HTTP/1.1" 200 615 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:103.0) Gecko/20100101 Firefox/103.0" "-"

Error Logs:

2023/03/05 09:34:46 [emerg] 2032#2032: no "ssl_certificate" is defined for the "listen ... ssl" directive in /etc/nginx/sites-enabled/default:21
2023/01/05 11:50:44 [error] 22053#0: *3 open() "/usr/local/stefan/nginx/1.10.2_1/html/stest" failed

NGINX Spotlight content pack

NGINX контент багц нь Overview dashboard санал болгоно.