自行撰寫syslog server建立資訊安全控管中心#3 -- 程式下載和安裝 @新精讚

[無邊框]

1358

自行撰寫syslog server建立資訊安全控管中心#3 -- 程式下載和安裝

“

利用PERL將syslog收攏到資料庫的程式，程式下載和安裝

„

分享此文連結 //n.sfs.tw/11443

分享連結自行撰寫syslog server建立資訊安全控管中心#3 -- 程式下載和安裝@新精讚

(文章歡迎轉載，務必尊重版權註明連結來源)

2019-10-25 08:25:20 最後編修

2017-07-17 00:48:44 By 張○○

自動目錄

程式下載
安裝
建立資料庫
設定
開啟防火牆
執行

此文分為四個部分

自行撰寫syslog server建立資訊安全控管中心 #1 -- 前言及syslog介紹
 自行撰寫syslog server建立資訊安全控管中心 #2 -- 架構和作法
 自行撰寫syslog server建立資訊安全控管中心 #3 -- 程式下載和安裝
 自行撰寫syslog server建立資訊安全控管中心 #4 -- 過濾條件設定

程式下載

https://github.com/AxerZ/note_syslog

安裝

下載下來直接可執行，但此程式需要一些PERL的模組，可用CPAN安裝，必要時可以參考 [PERL] 使用CPAN安裝模組@新精讚

use IO::Socket;
use threads;
use threads::shared;
use DBI;
use Text::Iconv;
use Time::Local;
use Time::Elapse;
use Mail::Sendmail;

建立資料庫

建立資料表，請先建立資料庫並給予適合的權限(略)

$ mysql -u 您的帳號 -p -B 您的資料庫名 < logdb.sql

設定

$ vi logsrvmain.pl

# 設定聆聽的 udp 埠，多個port
my @udp_listen_port = (514, 5140, 5144, 51444);
my $DB_IP="127.0.0.1"; # 要存入資料庫的 IP
my $DB_name="logdb"; # 資料庫的名稱
my $DB_account="offline"; # 資料庫帳號
my $DB_passwd="123456"; # 資料庫密碼

# 每隔幾秒將記錄寫入記錄檔，這裡可設定任意秒數>10秒，但如果要配合 MRTG 使用，以設定300秒的因數為宜，例如60、150等。
my $log_interval=300; #log count in every 60 seconds
my $outputfile = "~/log.tmp"; # 無法辯視格式的記錄則輸出到這個檔案
my $enable_mrtg = 1; # set to 0 關掉MRTG
# 設定記錄檔目標的目錄，這裡的目錄將來要供 syslog2mrtg.pl 程式使用，路徑最後的'/'請保留
my $mrtg_workdir = '/usr/local/www/apache22/data/diagrams/';

設定要過濾掉的syslog條件

push @filter,"ldap; program; !slapd","ldap; level; info..emerg","ftp.tcc.edu.tw; priority; info..emerg";
push @filter,"syslogd; facility; syslogd";
push @filter, "dns; (level; !info..notice) and (program; !named)", "dns; (level; !warning) and (message; !RFC)", "netflow.tcc.edu.tw; program; !sendmail" ;
push @filter, "PIX; message; !Deny%20inbound%20icmp"; #%20 means a space ' '

寄發通知信給管理者，預設會存取資料庫manager表單中的email欄位

my $enable_email ="YES"; # Set to YES if you want the administrator to catch abnormal email notification.

設定寄信的週期秒數>=10秒。
my $email_interval=1200; # interval to send notification email in second.

使用資料庫的管理者名單寄發email (此功能預設啟動，但 $enable_email 需設定為YES)
my $use_database = "YES";

寄信的條件，這裡的設定也會另外說明

push @notification, "*; level; emerg..err", "*; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "ftp.tcc.edu.tw; level; emerg..err", "ftp.tcc.edu.tw; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "www.tcc.edu.tw; level; emerg..err", "www.tcc.edu.tw; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "netflow.tcc.edu.tw; level; emerg..err", "netflow.tcc.edu.tw; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "db3; level; emerg..err", "db3; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "ldap; level; emerg..err", "ldap; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "163.17.40.53; level; emerg..err", "163.17.40.53; (facility; auth, authpriv) and (level; notice..emerg)";