自行撰寫syslog server建立資訊安全控管中心#3 -- 程式下載和安裝

URL Link //n.sfs.tw/11443

2017-07-17 00:48:44 By 張○○

此文分為四個部分

自行撰寫syslog server建立資訊安全控管中心 #1 -- 前言及syslog介紹
自行撰寫syslog server建立資訊安全控管中心 #2 -- 架構和作法
自行撰寫syslog server建立資訊安全控管中心 #3 -- 程式下載和安裝
自行撰寫syslog server建立資訊安全控管中心 #4 -- 過濾條件設定

程式下載

https://github.com/AxerZ/note_syslog

安裝

下載下來直接可執行,但此程式需要一些PERL的模組,可用CPAN安裝,必要時可以參考 [PERL] 使用CPAN安裝模組@新精讚

use IO::Socket;
use threads;
use threads::shared;
use DBI;
use Text::Iconv;
use Time::Local;
use Time::Elapse;
use Mail::Sendmail;

建立資料庫

建立資料表,請先建立資料庫並給予適合的權限(略)

$ mysql -u 您的帳號 -p -B 您的資料庫名 < logdb.sql

設定

$ vi logsrvmain.pl

# 設定聆聽的 udp 埠,多個port
my @udp_listen_port = (514, 5140, 5144, 51444);
my $DB_IP="127.0.0.1";  # 要存入資料庫的 IP
my $DB_name="logdb";  # 資料庫的名稱
my $DB_account="offline";  # 資料庫帳號
my $DB_passwd="123456";  # 資料庫密碼
# 每隔幾秒將記錄寫入記錄檔,這裡可設定任意秒數>10秒,但如果要配合 MRTG 使用,以設定300秒的因數為宜,例如60、150等。
my $log_interval=300; #log count in every 60 seconds
my $outputfile = "~/log.tmp";   # 無法辯視格式的記錄則輸出到這個檔案
my $enable_mrtg = 1;    # set to 0 關掉MRTG
# 設定記錄檔目標的目錄,這裡的目錄將來要供 syslog2mrtg.pl 程式使用,路徑最後的'/'請保留
my $mrtg_workdir = '/usr/local/www/apache22/data/diagrams/';

設定要過濾掉的syslog條件

push @filter,"ldap; program; !slapd","ldap; level; info..emerg","ftp.tcc.edu.tw; priority; info..emerg";
push @filter,"syslogd; facility; syslogd";
push @filter, "dns; (level; !info..notice) and (program; !named)", "dns; (level; !warning) and (message; !RFC)", "netflow.tcc.edu.tw; program; !sendmail" ;
push @filter, "PIX; message; !Deny%20inbound%20icmp";   #%20 means a space ' '

寄發通知信給管理者,預設會存取資料庫manager表單中的email欄位

my $enable_email ="YES";    # Set to YES if you want the administrator to catch abnormal email notification.

設定寄信的週期秒數>=10秒。
my $email_interval=1200; # interval to send notification email in second.

使用資料庫的管理者名單寄發email (此功能預設啟動,但 $enable_email 需設定為YES)
my $use_database = "YES";

寄信的條件,這裡的設定也會另外說明

push @notification, "*; level; emerg..err", "*; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "ftp.tcc.edu.tw; level; emerg..err", "ftp.tcc.edu.tw; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "www.tcc.edu.tw; level; emerg..err", "www.tcc.edu.tw; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "netflow.tcc.edu.tw; level; emerg..err", "netflow.tcc.edu.tw; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "db3; level; emerg..err", "db3; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "ldap; level; emerg..err", "ldap; (facility; auth, authpriv) and (level; notice..emerg)";
push @notification, "163.17.40.53; level; emerg..err", "163.17.40.53; (facility; auth, authpriv) and (level; notice..emerg)";

開啟防火牆

請開啟本機防火牆以收資料(過程略),可參考 [Centos7] 新的防火牆firewalld @新精讚

執行

啟動程式只需要下達以下指令即可:

# ./logsrvmain.pl &

要結束程式則要先下達 ps -aux,再將該 process kill掉,目前暫時是這樣,未來我會再改寫

# ps -aux

root  17928  0.0  2.3 29880 24172  p1- I    日12上午   0:43.17 /usr/bin/perl -w ./logsrvmain.pl (perl5.x)

# kill -9 17928

有關過濾條件的進階設定,請參看下一單元:

[自行撰寫syslog server建立資訊安全控管中心 #4 -- 過濾條件設定]