Med dagens systemer, der genererer masser af logningdata, er det ikke overraskende, at administratorer altid leder efter loghåndteringsløsninger. Logs gemmes som standard ofte lokalt. Dette giver mening, da det gør det nemt at knytte dem til deres kilde. Men når vi prøver at løse problemer og finde deres grundlæggende årsag, er vi undertiden nødt til at se på flere logfiler på adskillige enheder. Ville det ikke være rart, hvis alle logfiler fra alle enheder blev gemt et centralt sted? Dette er formålet med loghåndtering. Og hvis din valgte platform er Linux, er der masser af tilgængelige muligheder. Læs videre, da vi opdager nogle af de bedste logadministrationer til Linux
Vi starter med at definere logstyring. Du vil se, at det kan være lidt mere end bare at centralisere logopbevaring. Dernæst diskuterer vi forskellige loggingsteknologier. De er hjørnestenen i loghåndtering, og det ville sandsynligvis ikke eksistere uden dem. Vi fortsætter med at differentiere syslog-servere fra logadministrationssystemer og indse, at der ikke er nogen klar afgrænsning mellem dem. Dernæst stopper vi kort og diskuterer Sikkerhedsinformation og begivenhedsstyringssystemer. Det er en anden type system, der ofte forveksles med loghåndtering takket være den lidt uklare definition af hver. Og endelig gennemgår vi den bedste logadministration for Linux.
Hvad er loghåndtering?
Før vi kan tale om loghåndtering, lad osdefinere, hvad en log er. Enkelt defineret er en log den automatisk producerede og tidsstemplede dokumentation af en begivenhed, der er relevant for et bestemt system. Med andre ord, hver gang en begivenhed finder sted på et system, genereres en log. Systemer og enheder genererer logfiler til forskellige typer begivenheder, og mange systemer giver administratorer en vis grad af kontrol over, hvilken hændelse genererer en log, og hvilken ikke.
Hvad angår loghåndtering, henviser det ganske enkelt tilde processer og politikker, der bruges til at administrere og lette generering, transmission, analyse, opbevaring, arkivering og eventuel bortskaffelse af store mængder logdata. Selvom det ikke er klart angivet, indebærer loghåndtering et centraliseret system, hvor logfiler fra flere kilder indsamles. Loghåndtering er dog ikke kun logindsamling. Det er ledelsesdelen, der er den vigtigste. Og logadministrationssystemer har ofte flere funktionaliteter, idet logfiler kun er en af dem.
Når logfiler er modtaget af logstyringensystem, skal de standardiseres i et fælles format, da forskellige systemer logger forskelligt og inkluderer forskellige data. Nogle starter en log med dato og tid, andre starter den med et hændelsesnummer. Nogle inkluderer kun en begivenheds-id, mens andre indeholder en fuldtekstbeskrivelse af begivenheden. Et af formålene med logstyringssystemer er at sikre, at alle indsamlede logposter gemmes i et ensartet format. Dette vil sammenhæng mellem begivenheder og eventuel søgning meget lettere nede på linjen.
Selv korrelation og søgning er to yderligerevigtige funktioner i flere logadministrationssystemer. De bedste af dem har en kraftfuld søgemaskine, der giver administratorer mulighed for nul-ind på præcis, hvad de har brug for. Korrelationsfunktioner grupperer automatisk relaterede begivenheder, selvom de kommer fra forskellige kilder. Hvordan — og hvor succesfuldt — forskellige logadministrationssystemer opnår det er en væsentlig differentierende faktor.
LÆS OGSÅ: 15 bedste værktøjer til overvågning af netværk (vores egen anmeldelse)
Loggingsteknologier
Loghåndtering ville være meget vanskeligere,måske ikke engang muligt, hvis det ikke var til loggingsprotokoller. Et par af dem findes. De definerer, hvilke data der skal inkluderes i logfiler, hvordan de skal formateres og undertiden, hvordan de skal overføres mellem systemer.
Syslog er uden tvivl den mest anvendte logningprotokol, især i Linux-verdenen. Teknologien blev opfundet i begyndelsen af firserne og er blevet de-facto-standarden for alle Unix-lignende systemer. Et af de største aktiver ved syslog-teknologien er, hvordan det letter adskillelsen mellem systemet eller softwaren, der genererer logfiler, det system, der gemmer dem, og den software, der rapporterer og analyserer dem. Brug af Syslog-teknologien gør loghåndtering meget lettere. Og Syslog er ikke en Unix-eksklusiv. Mange ikke-Unix-enheder, såsom switches, routere og alskens udstyr fra mange leverandører, bruger en variant af syslog-protokollen.
Der er andre loggingsteknologier. Microsoft Windows bruger for eksempel et andet loggesystem. Det kan have at gøre med det faktum, at Windows-operativsystemer og applikationer har logfiler, der typisk indeholder mere detaljerede oplysninger, end Syslog-teknologien tillader. Heldigvis giver Windows Event Collector-funktionerne et middel til logstyring, som forskellige systemer kan bruge til at modtage begivenheder fra Windows-værter. Dette indlæg handler om Linux-loghåndtering, så lad os ikke spilder for meget tid på Windows, selvom.
Ligegyldigt hvilken loggingsteknologi der bruges,vigtig del af logstyring er at konfigurere enheder til at sende deres logfiler til styringssystemet. Andre typer værktøjer, såsom netværksovervågningssystemer, kan hente data fra de systemer, de overvåger, men med loghåndtering skal hver enhed "fortælles", hvor de skal sende sine logfiler. Det er dog en relativt simpel opgave, der ofte udføres ved at udstede en enkel kommando.
YDERLIGERE LÆSNING: Bedste netværksdiagram kortlægning og topologisoftware
Logservere eller loghåndtering?
Siden det har været tilgængeligt på alle Unix-lignendesystem — inklusive Linux — i lang tid bruges Syslog ofte som en log-server med en computer, der modtager Syslog-data fra flere andre. Selvom denne centraliserede opbevaring af logfiler har klare fordele, er det ikke nok at blive kaldt logstyring.
For at fortjene navnet på Log Management System, aProduktet skal mindst indeholde nogle af de mere avancerede funktioner. Ifølge Wikipedia består "loghåndtering af følgende funktioner: logopsamling, centraliseret logopsamling, langvarig logopbevaring og opbevaring, logrotation, loganalyse, logsøgning og rapportering". Wow! Det er en masse funktionalitet. Log-servere, på den anden side, tilbyder ofte kun logopsamling og -lagring og sjældent mere end det.
Et ord (eller to) om SIEM
En anden populær teknologi, der er tilknyttetmed logfiler og ofte forvekslet med logadministrationssystemer er sikkerhedsinformation og begivenhedsstyring eller SIEM. Dette adskiller sig fra logstyring, men det er tæt forbundet. Linjen er så tynd mellem dem, at nogle produkter, der annonceres som logstyringssystemer, faktisk er SIEM-systemer, mens nogle basale SIEM-systemer ikke er andet end avancerede logstyringssystemer.
Forvirringen stammer fra det faktum, at logstyring - eller i det mindste loganalyse - er en vigtig komponent i SIEM-systemer. Det, der adskiller SIEM-systemer, er, at de udfører loganalyse med det endelige mål at identificere sikkerhedsproblemer. De vil for eksempel kigge efter tegn på mislykket login, som kan være et fortællende tegn på et uautoriseret indtrængende forsøg. Disse systemer scanner kontinuerligt logposter på udkig efter noget, der er usædvanligt. Mens nogle SIEM-systemer indeholder omfattende loghåndteringsfunktioner, bruger nogle et eksternt logadministrationssystem, og det er ikke ualmindeligt at se begge systemer køre side om side.
RETTET LÆSNING: Bedste IP-scannere til Mac
Den bedste loghåndtering til Linux
Forhåbentlig har vi nu en fælles forståelse afhvad loghåndtering er, og hvad det ikke er. Så lad os se på hvad der er tilgængeligt for Linux. Men først skal vi afklare noget. Når vi refererer til Linux-loghåndtering, er vi log-management-systemer, der kan rumme Linux-logfiler, og som enten vil køre på Linux-platformen eller i skyen. Nogle af vores valg - især skybaserede systemer - fungerer også med logfiler fra andre platforme.
1. SolarWinds Papertrail (GRATIS PLAN TILGÆNGELIG)
SolarWinds er blevet et husstand blandt netværkadministratorer. Det laver nogle af de bedste værktøjer i næsten 20 år, og bringer os store overvågningsværktøjer til båndbredde og et af de bedste NetFlow-analysatorer og samlere. Virksomheden er også kendt for at udgive flere gratis værktøjer, der imødekommer nogle specifikke behov hos netværksadministratorer, såsom subnetberegner eller en syslog-server.
- GRATIS PLAN: SolarWinds Papertrail
- Officielt downloadlink: https://papertrailapp.com/plans
For ikke så længe siden, SolarWinds erhvervet Papertrail, et populært logstyringssystem. Det samler logfiler fra en lang række populære produkter som Apache eller MySQL samt Ruby on Rails-apps, forskellige cloud-hostingtjenester og andre standard syslog- og tekstbaserede logfiler. Papertrail brugere kan derefter bruge den webbaserede søgefladeeller kommandolinjeværktøjer til at søge gennem disse filer for at hjælpe med at diagnosticere forskellige problemer. Papertrail integreres også med andre SolarWinds-produkter, som f.eks. Librato og Geckoboard til grafisk resultat.
Papertrail er en skybaseret software som en service (SaaS)tilbud fra SolarWinds. At være skybaseret betyder, at det fungerer fint i et Linux-miljø. Platformen er let at implementere, bruge og forstå, og den giver dig øjeblikkelig synlighed på tværs af alle systemer inden for få minutter. Desuden har produktet en meget effektiv søgemaskine, der kan søge i både gemte og streaming-logfiler. Og det er lynet hurtigt.
Papertrail er tilgængelig under flere planer, inklusive en gratisplan. Det er dog noget begrænset og tillader kun 100 MB logfiler hver måned. Det tillader dog 16 GB logfiler i den første måned, hvilket svarer til at give dig en gratis 30-dages prøveperiode. Betalte planer starter ved $ 7 / måned for 1 GB / måned logfiler, 1 års arkiv og 1 uges indeks. Støjfiltrering gør det muligt for værktøjet at bevare data ved ikke at gemme unyttige logfiler.
2. Loggly
Loggly er en anden skybaseret onlinetjeneste. Primært en logkonsolidering, det tilbyder også loganalysefunktionalitet. Som en dyd ved at være skybaseret kræver dette system ingen installation og er klar til at bruge det minut, du abonnerer. Naturligvis skal dine systemer og enheder konfigureres til at uploade deres standard logfiler med jævne mellemrum til online-serveren.
- GRATIS PRØVEVERSION: Loggly planer
- Officielt link: https://www.loggly.com
Loggly konverterer derefter de modtagne logdata til astandardformat, hvorved analysatoren kan behandle poster fra forskellige kilder og muliggøre begivenhedssporing og korrelation på tværs af alle systemer, uanset deres operativsystem eller loggingsteknologi. Kilderne til logdata er ikke begrænset til dine lokale servere. Systemet er selvfølgelig i stand til at behandle logfiler genereret af online-servere, f.eks. Amazons AWS, og det kan omfatte meddelelser oprettet af specifikke applikationer som Docker og Logstash, bare for at nævne nogle få.
Det Loggly service er tilgængelig under tre forskellige planer,med stigende databehandlingsgrænser og opbevaringstider. Du skal vælge den rigtige for at give dig nok plads til dine logdata. Planen for indgangsniveau kaldes Loggly Lite. Det er gratis at bruge. I henhold til denne plan kan du uploade 200 MB logdata pr. Dag, og systemet bevarer hver post i syv dage. Dernæst er Standardplanen, som giver dig en uploadfradrag på 1 GB pr. Dag og beholder poster i 30 dage. Betalte planer giver dig også mulighed for at bruge flere brugerkonti. Med Standard-pakken kan du have tre brugerkonti. Det øverste niveau kaldes Loggly Enterprise. Det har ingen grænse for antallet af brugerkonti, du kan oprette, og priserne varierer afhængigt af mængden af uploadkapacitet og den opbevaringsperiode, du har brug for. Betaling for alle betalte planer kan være enten månedligt eller årligt, og en gratis 14-dages prøveperiode er tilgængelig på standardplanen.
3. splunk
splunk er en velkendt — inden for systemadministrationencommunity - omfattende logadministrationssystem til Linux, Mac OS og Windows. Mere end kun et grundlæggende logstyringssystem, nogle betragter det som et fuldt udbygget system til forebyggelse af indtrængen. Produktet fås i tre versioner. På toppen er Splunk Enterprise som er mere et netværksstyringssystem i stedet for kun et logstyringsværktøj. Priser starter ved $ 173 pr. Måned, og du får en masse funktionalitet.
Der er også en gratis version af splunk hvilket stort set er det samme værktøj uden noget afdets mest avancerede funktionaliteter. I det væsentlige er det begrænset til logfilanalyse. Du kan tilføje en hvilken som helst af dine standard logfiler eller sende det live data gennem en fil til analysatoren. Den gratis version har et par begrænsninger. Det kan f.eks. Kun have en brugerkonto, og dens datagennemstrømning er begrænset til 500 MB logfiler pr. Dag. Datasorterings- og filtreringsfunktionalitet er indbygget i Splunk, hvilket letter din fejlfindingsindsats. Du kan bruge disse funktioner til at dele logposter efter dato og skrive hver gruppe ud til nye filer. Faktisk er denne funktionalitet meget fleksibel.
4. Nagios Log Server
Nagios er bedst kendt for sin fremragende netværksovervågningssoftware, men dens Log Server er lige så interessant. Produktet kaldes simpelthen Nagios Log Server og det tilbyder centraliseret loghåndtering,overvågning og analyse. Dette værktøj kan i høj grad forenkle processen med at søge i dine logdata. Det giver dig også mulighed for at indstille alarmer, der skal meddeles om potentielle trusler. Desuden har softwaren stor tilgængelighed og fail-over indbygget lige i det. Desuden hjælper dets nemme kildeopsætningsguider dig hurtigt med at konfigurere servere til at sende alle logdata og begynde at overvåge dine logfiler på få minutter.
Det Nagios Log Server muliggør en nem korrelation mellem logbegivenhederpå tværs af alle servere med få klik. Systemet giver dig mulighed for at se logdata i realtid, hvilket giver dig muligheden for at analysere og løse problemer, når de opstår. Produktet har imponerende skalerbarhed, og det vil fortsat opfylde dine behov, når din organisation vokser. Ekstra Nagios Log Server forekomster kan føjes til en overvågningsklynge, så du hurtigt kan tilføje mere strøm, hastighed, opbevaring og pålidelighed.
Enkeltinstansprisen for Nagios Log Server er $ 3 995 og selvom en gratis prøveversion ikke ser ud til at være tilgængelig, er en gratis online demo, hvis du foretrækker at have et førstehånds-kig på produktet.
5. Graylog
Næste på vores liste er et produkt kaldet Graylog. Produktet tilbyder mange interessante funktioner. Værktøjet analyserer og beriger logfiler og begivenhedsdata fra enhver datakilde. Dets behandlingsrørledninger giver mulighed for en vis fleksibilitet i routing, sortlistning, ændring og berigelse af meddelelser i realtid. Graylog vil søge gennem terabytter af logdata for at finde og analysere vigtig information. Den kraftige søgesyntaks giver dig mulighed for at finde nøjagtigt, hvad du leder efter.
Med Graylog, kan du oprette dashboards til visualisering af metricsog observer tendenser på et centralt sted. Du kan bruge feltstatistikker, hurtige værdier og diagrammer fra søgeresultatsiden til at dykke ind for en dybere analyse af dine data. Systemet har også muligheden for at udløse handlinger eller udstede underretninger om begivenheder som mislykkede loginforsøg, undtagelser eller ydelsesforringelse.
Graylog er et gratis open source-logfilbaseret system, derkan give dig meget mere funktionalitet end bare et arkiveringsværktøj. Denne loganalysator har en grafisk brugergrænseflade, og den kan køre på Ubuntu, Debian, CentOS og SUSE Linux. Du kan også køre det på en virtuel maskine på Microsoft Windows, og du kan installere Graylog-systemet på Amazon AWS.
6. ManageEngine EventLog Analyzer
ManageEngine, et andet almindeligt navn blandt netværksadministrator, gør et fremragende logadministrationssystem kaldet ManageEngine EventLog Analyzer. Produktet indsamler, administrerer, analyserer, korrelerer og søger gennem logdataene fra over 700 kilder ved hjælp af en kombination af agentløs og agentbaseret logopsamling såvel som logimport.
Hastighed er en af ManageEngine EventLog AnalyzerStyrke. Det kan behandle logdata med imponerende 25.000 logs / sekund og opdage angreb i realtid. Det kan også udføre hurtig retsmedicinsk analyse for at reducere virkningen af et brud. Systemets revisionsfunktioner udvider til netværkets perimeterenheders logfiler, brugeraktiviteter, ændringer af serverkonto, brugeradgang og mere, hvilket hjælper dig med at imødekomme sikkerhedsrevisionsbehov.
Det ManageEngine EventLog Analyzer er tilgængelig i en funktionsreduceret gratis udgavesom kun understøtter 5 logkilder eller i en premiumudgave, der starter ved $ 595 og varierer afhængigt af antallet af enheder og applikationer. En gratis, komplet 30-dages prøveversion er også tilgængelig.
Kommentarer