Nykypäivän järjestelmät tuottavat paljon hakkuitatietoja, ei ole yllättävää, että järjestelmänvalvojat etsivät aina lokinhallintaratkaisuja. Lokit tallennetaan oletuksena usein paikallisesti. Tämä on järkevää, koska se on helppo linkittää heidän lähteensä. Mutta yrittäessämme selvittää ongelmia ja löytää niiden syy, meidän on joskus tarkasteltava useita lokitiedostoja useissa laitteissa. Eikö olisi hienoa, jos kaikkien laitteiden kaikki lokit säilytettäisiin yhdessä keskitetyssä paikassa? Tämä on lokinhallinnan tarkoitus. Ja jos valitsemasi alusta on Linux, vaihtoehtoja on paljon. Lue edelleen, kun löydämme joitain parhaista lokienhallinnan Linuxista
Aloitamme määrittelemällä lokinhallinnan. Huomaat, että se voi olla paljon enemmän kuin vain lokien tallennuksen keskittäminen. Seuraavaksi keskustelemme erilaisista kirjaustekniikoista. Ne ovat lokinhallinnan kulmakivi, eikä sitä todennäköisesti olisi ilman niitä. Jatkamme erotamme syslog-palvelimet lokinhallintajärjestelmistä ja ymmärrämme, että niiden välillä ei ole selkeää rajaa. Seuraavaksi pysähdymme lyhyesti ja keskustelemme tietoturva- ja tapahtumienhallintajärjestelmistä. Ne ovat toinen tyyppi järjestelmä, joka sekoitetaan usein lokien hallintaan kunkin määritelmän ansiosta hieman epäselvän määritelmän ansiosta. Ja lopuksi, arvioimme parhaan lokinhallinnan Linuxille.
Mikä on lokinhallinta?
Ennen kuin voimme puhua lokien hallinnasta, katsotaanpamääritä mikä loki on. Yksinkertaisesti määritelty loki on automaattisesti tuotettu ja aikaleimattu dokumentaatio tapahtumasta, joka liittyy tiettyyn järjestelmään. Toisin sanoen, aina kun tapahtuma tapahtuu järjestelmässä, loki luodaan. Järjestelmät ja laitteet luovat lokit erityyppisiin tapahtumiin, ja monet järjestelmät antavat järjestelmänvalvojille jonkin verran hallintaa siitä, mikä tapahtuma luo lokin ja mikä ei.
Lokien hallintaan viitataan yksinkertaisestiprosessit ja käytännöt, joita käytetään hallitsemaan ja helpottamaan suurten lokitietojen määrien tuottamista, lähettämistä, analysointia, varastointia, arkistointia ja lopullista hävittämistä. Vaikka lokien hallinta ei ole selkeästi mainittu, se tarkoittaa keskitettyä järjestelmää, jossa lokit kerätään useista lähteistä. Lokien hallinta ei kuitenkaan ole vain lokien kokoaminen. Se on johtamisen osa on tärkein. Ja lokinhallintajärjestelmillä on usein useita toimintoja, lokien kerääminen on vain yksi niistä.
Kun lokien hallinta on vastaanottanut lokitJärjestelmä, ne on standardisoitava yhteiseen muotoon, koska eri järjestelmämuoto lokit eroavat toisistaan ja sisältävät erilaisia tietoja. Jotkut aloittavat lokin päivämäärällä ja kellonajalla, toiset alkavat sen tapahtuman numerolla. Jotkut sisältävät vain tapahtuman tunnuksen, kun taas toiset sisältävät koko tekstin kuvauksen tapahtumasta. Yksi lokinhallintajärjestelmien tarkoituksista on varmistaa, että kaikki kerätyt lokitiedot tallennetaan yhtenäisessä muodossa. Tämä johtaa tapahtumien korrelaatioon ja mahdolliseen hakuun paljon helpommin.
Jopa korrelaatio ja etsiminen ovat kaksi ylimääräistäuseiden lokinhallintajärjestelmien päätoiminnot. Parhaimmissa niistä on tehokas hakukone, jonka avulla järjestelmänvalvojat voivat nollata juuri tarvitsemansa. Korrelaatiofunktiot ryhmittelevät liittyvät tapahtumat automaattisesti, vaikka ne olisivat peräisin eri lähteistä. Kuinka ja kuinka onnistuneesti eri lokinhallintajärjestelmä suorittaa, tämä on tärkeä erottava tekijä.
LUE MYÖS: 15 parasta verkonseurantatyökalua (oma arvostelu)
Metsätaloustekniikat
Lokien hallinta olisi paljon vaikeampaa,Ehkä ei edes mahdollista, jos se ei ole protokollien kirjaamista varten. Muutama niistä on olemassa. Ne määrittelevät mitä tietoja lokiin sisällytetään, miten ne tulisi muotoilla ja joskus miten ne siirretään järjestelmien välillä.
Syslog on kiistatta eniten käytetty kirjausprotokolla, etenkin Linux-maailmassa. Teknologia keksittiin 1980-luvun alkupuolella, ja siitä on tullut tosiasiallinen standardi kaikille Unix-kaltaisille järjestelmille. Yksi syslog-tekniikan suurimmista hyödyistä on se, miten se helpottaa lokien muodostavan järjestelmän tai ohjelmiston, niitä tallentavan järjestelmän ja niitä raportoivan ja analysoivan ohjelmiston erottamista toisistaan. Syslog-tekniikan käyttö helpottaa lokien hallintaa. Ja Syslog ei ole Unixin yksinoikeus. Monet muut kuin Unix-laitteet, kuten kytkimet, reitittimet ja kaikenlaiset monien laitteiden valmistajat, käyttävät varianttia syslog-protokollasta.
On olemassa muitakin hakkuuteknologioita. Esimerkiksi Microsoft Windows käyttää erilaista kirjausjärjestelmää. Se voi olla tekemistä sen kanssa, että Windows-käyttöjärjestelmissä ja sovelluksissa on lokit, jotka sisältävät yleensä yksityiskohtaisempia tietoja kuin Syslog-tekniikka sallii. Onneksi Windows Event Collector -toiminnot tarjoavat keinon lokien hallintaan, jota eri järjestelmät voivat käyttää tapahtumien vastaanottamiseen Windows-koneilta. Tämä viesti koskee Linux-lokien hallintaa, joten älä tuhlaa liian paljon aikaa Windowsissa.
Riippumatta siitä, mitä hakkuuteknologiaa käytetään, antärkeä osa lokinhallintaa on laitteiden määrittäminen lähettämään lokit hallintajärjestelmään. Muun tyyppiset työkalut, kuten verkonvalvontajärjestelmät, voivat noutaa tietoja seurattavista järjestelmistä, mutta lokinhallinnan avulla jokaiselle laitteelle on kerrottava, mihin lokit lähetetään. Se on kuitenkin suhteellisen yksinkertainen tehtävä, joka usein suoritetaan antamalla yksinkertainen komento.
LISÄLUKU: Paras verkkokaaviokarttaus- ja topologiaohjelmisto
Lokipalvelimet tai lokin hallinta?
Koska se on ollut saatavana kaikissa Unix-kaltaisissaSysteliä - myös Linuxia - käytetään jo jonkin aikaa lokipalvelimena, kun yksi tietokone vastaanottaa Syslog-tietoja useilta muilta. Vaikka tällä lokien keskitetyllä varastoinnilla on selvät edut, se ei riitä, että sitä kutsutaan lokinhallintaksi.
Ansaitaksesi lokinhallintajärjestelmän nimen, aTuotteen on sisällettävä ainakin osa edistyneemmistä toiminnoista. Wikipedian mukaan ”lokien hallinta koostuu seuraavista toiminnoista: lokien keruu, keskitetty lokien yhdistäminen, lokien pitkäaikainen varastointi ja säilyttäminen, lokien kierto, lokien analysointi, lokien haku ja raportointi”. Vau! Se on paljon toiminnallisuutta. Lokipalvelimet puolestaan tarjoavat usein vain lokien keräämistä ja tallentamista ja harvoin enemmän.
Sana (tai kaksi) SIEM: stä
Toinen suosittu tekniikka, joka siihen liittyylokien kanssa ja usein sekoitettuna lokien hallintajärjestelmiin on tietoturvatiedot ja -tapahtumien hallinta tai SIEM. Tämä eroaa lokien hallinnasta, mutta liittyy läheisesti toisiinsa. Linja on niiden välillä niin ohut, että jotkut lokinhallintajärjestelminä mainostetut tuotteet ovat todella SIEM-järjestelmiä, kun taas jotkut SIEM-perusjärjestelmät ovat vain edistyneitä lokinhallintajärjestelmiä.
Sekaannus johtuu siitä, että lokihallinta - tai ainakin lokianalyysi - on tärkeä osa SIEM-järjestelmiä. SIEM-järjestelmät erottavat sen, että ne suorittavat lokianalyysin lopullisena tavoitteenaan tunnistaa tietoturvaongelmat. He etsivät esimerkiksi merkkejä epäonnistuneista kirjautumisista, jotka voivat olla merkkivalo luvattomasta tunkeutumisyrityksestä. Nämä järjestelmät skannaavat jatkuvasti lokitietoja etsimällä mitä tahansa tavallisesta. Vaikka jotkut SIEM-järjestelmät sisältävät laajoja lokinhallintaominaisuuksia, toiset käyttävät ulkoista lokinhallintajärjestelmää, ja ei ole harvinaista nähdä molemmat järjestelmät toimimasta vierekkäin.
LIITTYVÄT LUKEMUKSET: Paras IP-skanneri Macille
Paras lokien hallinta Linuxille
Toivottavasti meillä on nyt yhteinen käsitysmikä lokien hallinta on ja mitä se ei ole. Katsotaanpa niin, mitä Linuxille on saatavana. Mutta ensin selvitetään jotain. Kun viitataan Linux-lokien hallintaan, tarkoitamme lokinhallintajärjestelmiä, joihin mahtuu Linux-lokit ja jotka toimivat joko Linux-alustalla tai pilvessä. Jotkut valinnoistamme - erityisesti pilvipohjaiset järjestelmät - toimivat myös muiden alustojen lokien kanssa.
1. SolarWinds Papertrail (ILMAINEN Suunnitelma saatavilla)
SolarWinds on tullut kotitalousnimi verkossaylläpitäjät. Se on valmistanut joitain parhaista työkaluista lähes 20 vuoden ajan, ja tarjoaa meille hienoja kaistanleveyden seurannan työkaluja ja yhden parhaista NetFlow-analysaattoreista ja kerääjistä. Yhtiö on myös tunnettu julkaisemasta useita ilmaisia työkaluja, jotka vastaavat tiettyihin verkonvalvojien erityistarpeisiin, kuten aliverkon laskin tai syslog-palvelin.
- ILMAINEN SUUNNITELMA: SolarWinds Papertrail
- Virallinen latauslinkki: https://papertrailapp.com/plans
Ei niin kauan sitten, SolarWinds hankittu Papertrail, suosittu lokinhallintajärjestelmä. Se yhdistää lokitiedostot monista suosituista tuotteista, kuten Apache tai MySQL, sekä Ruby on Rails -sovelluksista, erilaisista pilvipalvelupalveluista ja muista tavallisista syslog- ja tekstipohjaisista lokitiedostoista. Papertrail käyttäjät voivat sitten käyttää verkkopohjaista hakuliittymäätai komentorivityökaluja näiden tiedostojen etsimiseen erilaisten ongelmien diagnosoimiseksi. Papertrail integroituu myös muihin SolarWinds-tuotteisiin, kuten Libratoon ja Geckoboardiin tulosten kuvaajaksi.
Papertrail on pilvipohjainen ohjelmisto palveluna (SaaS)tarjous SolarWindsiltä. Pilvipohjaisuus tarkoittaa, että se toimii hyvin koko Linux-ympäristössä. Alusta on helppo toteuttaa, käyttää ja ymmärtää, ja se antaa sinulle välittömän näkyvyyden kaikissa järjestelmissä muutamassa minuutissa. Lisäksi tuotteella on erittäin tehokas hakukone, joka voi etsiä sekä tallennettuja että suoratoistolokeja. Ja se on salamannopea.
Papertrail on saatavana useiden suunnitelmien mukaisesti, mukaan lukien ilmainensuunnitelma. Se on kuitenkin jonkin verran rajallinen, ja sallii vain 100 Mt lokit joka kuukausi. Se sallii kuitenkin 16 Gt lokit ensimmäisen kuukauden aikana, mikä vastaa ilmaisen 30 päivän kokeilujakson antamista. Maksetut suunnitelmat alkavat 7 dollaria kuukaudessa 1 Gt / kuukausi lokitiedoista, yhden vuoden arkiston ja yhden viikon hakemiston. Melun suodatus antaa työkalulle mahdollisuuden säilyttää tiedot tallentamatta turhia lokit.
2. Loggly
Loggly on toinen pilvipohjainen verkkopalvelu. Ensisijaisesti lokien yhdistäjä, se tarjoaa myös loki-analyysitoiminnot. Koska järjestelmä on pilvipohjainen, se ei vaadi asennusta ja on valmis käyttämään tilaamaasi minuuttia. Tietysti järjestelmät ja laitteesi on määritettävä lataamaan vakio lokitiedostot säännöllisesti online-palvelimelle.
- ILMAINEN KOKEILU: Loggly suunnitelmat
- Virallinen linkki: https://www.loggly.com
Loggly muuntaa sitten vastaanotetun lokitiedon a: ksivakiomuoto, jolloin analysaattori voi prosessoida tietueita eri lähteistä ja mahdollistaa tapahtumien seurannan ja korreloinnin kaikissa järjestelmissä, riippumatta niiden käyttöjärjestelmästä tai kirjaustekniikasta. Lokitietojen lähteet eivät ole rajoittuneet paikallisiin palvelimiin. Järjestelmä tietysti pystyy käsittelemään verkkopalvelimien, kuten Amazonin AWS: n, tuottamat lokit, ja se voi sisältää vain tiettyjen sovellusten, kuten Docker ja Logstash, luomia viestejä.
Ja Loggly palvelu on saatavana kolmella eri suunnitelmalla,kasvavilla tietojenkäsittelyrajoilla ja säilytysajoilla. Sinun on valittava oikea, jotta sinulla on tarpeeksi tilaa lokitiedoillesi. Alkutason suunnitelmaa kutsutaan Loggly Lite. Se on ilmainen käyttää. Tämän suunnitelman mukaan voit lähettää 200 Mt lokitietoja päivässä ja järjestelmä säilyttää kunkin tietueen seitsemän päivän ajan. Seuraava on vakiosuunnitelma, joka antaa sinulle lähetyskorvauksen 1 Gt päivässä ja säilyttää tietueet 30 päivän ajan. Maksettujen suunnitelmien avulla voit myös käyttää useita käyttäjätilejä. Standard-paketin avulla sinulla voi olla kolme käyttäjätiliä. Ylätasoa kutsutaan Loggly Enterprise. Sillä ei ole mitään rajaa määritettävien käyttäjätilien lukumäärälle, ja hinnat vaihtelevat riippuen lähetyskapasiteetin määrästä ja vaaditusta säilytysjaksosta. Maksu kaikista maksetuista järjestelyistä voi olla joko kuukausittain tai vuosittain, ja vakio-ohjelmassa on ilmainen 14 päivän kokeilu.
3. Splunk
Splunk on yleisesti tunnettu järjestelmänhallinnassayhteisö - kattava lokienhallintajärjestelmä Linuxille, Mac OS: lle ja Windowsille. Muuta kuin pelkkää lokinhallintajärjestelmää, jotkut katsovat sen olevan täysimittainen tunkeutumisen estävä järjestelmä. Tuotetta on saatavana kolmena versiona. Yläosassa on Splunk Enterprise joka on pikemminkin verkonhallintajärjestelmä kuin pelkkä lokinhallintatyökalu. Hinnoittelu alkaa 173 dollarista kuukaudessa ja saat paljon toiminnallisuutta.
On myös ilmainen versio Splunk joka on periaatteessa sama työkalu ilman joitainsen edistyneimmät toiminnot. Pohjimmiltaan se on rajoitettu lokitiedostoanalyysiin. Voit syöttää mitä tahansa tavanomaisia lokitiedostoja tai lähettää sille live-tietoja tiedoston kautta analysaattoriin. Ilmaisella versiolla on muutama rajoitus. Sillä voi olla esimerkiksi vain yksi käyttäjätili, ja sen tiedonsiirtonopeus on rajoitettu 500 Mt lokit päivässä. Splunkiin on integroitu tietojen lajittelu- ja suodatusominaisuudet, mikä helpottaa vianetsintää. Voit käyttää näitä ominaisuuksia jakaa lokitietueet päivämäärän mukaan ja kirjoittaa jokaisen ryhmän uusiin tiedostoihin. Itse asiassa tämä toiminnallisuus on erittäin joustava.
4. Nagios-lokipalvelin
Nagios tunnetaan parhaiten erinomaisesta verkonvalvontaohjelmistosta, mutta sen Log Server on yhtä mielenkiintoinen. Tuotetta kutsutaan yksinkertaisesti Nagios-lokipalvelin ja se tarjoaa keskitetyn lokinhallinnan,seuranta ja analyysi. Tämä työkalu voi huomattavasti yksinkertaistaa lokitietojesi hakua. Sen avulla voit myös asettaa hälytyksiä ilmoitettaviksi mahdollisista uhista. Lisäksi ohjelmistolla on korkea käytettävyys ja epäonnistuvuus sisäänrakennettu suoraan siihen. Lisäksi helpon lähteen asennusvelhojen avulla voit nopeasti määrittää palvelimet lähettämään kaikki lokitiedot ja aloittamaan lokien seurannan muutamassa minuutissa.
Ja Nagios-lokipalvelin mahdollistaa lokitapahtumien helpon korreloinninkaikilla palvelimilla vain muutamalla napsautuksella. Järjestelmä antaa sinun tarkastella lokitietoja reaaliajassa, jolloin sinulla on mahdollisuus analysoida ja ratkaista ongelmia niiden esiintyessä. Tuotteella on vaikuttava skaalautuvuus ja se vastaa tarpeitasi organisaation kasvaessa. lisä- Nagios-lokipalvelin ilmentymiä voidaan lisätä seurantaklusteriin, jolloin voit lisätä nopeasti enemmän virtaa, nopeutta, tallennustilaa ja luotettavuutta.
Yhden instanssin hinta Nagios-lokipalvelin on 3 995 dollaria ja vaikka ilmaista kokeilua ei näytä olevan saatavana, ilmainen online-esittely on, jos haluat mieluummin katsoa tuotetta ensin.
5. Graylog
Seuraava luettelossamme on tuote nimeltään Graylog. Tuote tarjoaa monia mielenkiintoisia ominaisuuksia. Työkalu jäsentää ja rikastuttaa lokit ja tapahtumatiedot mistä tahansa tietolähteestä. Sen prosessointiputket mahdollistavat jonkin verran joustavuutta reititettäessä, mustalla listalla, muokkaamalla ja rikastamalla viestejä reaaliajassa. Graylog etsii teratavuilla lokitietoja löytääksesi ja analysoidaksesi tärkeää tietoa. Tehokkaan hakusyntaksin avulla voit löytää juuri etsimäsi.
Kanssa Graylog, voit luoda kojetauluja tietojen visualisoimiseksija tarkkaile suuntauksia yhdessä keskeisessä paikassa. Voit käyttää kenttätilastoja, nopeita arvoja ja kaavioita hakutulossivulta sukeltaaksesi syvemmälle analyysillesi. Järjestelmällä on myös mahdollisuus käynnistää toimenpiteitä tai antaa ilmoituksia tapahtumista, kuten epäonnistuneet kirjautumisyritykset, poikkeukset tai suorituskyvyn heikkeneminen.
Graylog on ilmainen, avoimen lähdekoodin lokitiedostopohjainen järjestelmä, jokavoi antaa sinulle paljon enemmän toimintoja kuin vain lokien arkistointiohjelma. Lokianalysaattorilla on graafinen käyttöliittymä ja se voi toimia Ubuntu-, Debian-, CentOS- ja SUSE Linux -käyttöjärjestelmissä. Voit käyttää sitä myös virtuaalikoneessa Microsoft Windowsissa ja voit asentaa Graylog-järjestelmän Amazon AWS: ään.
6. ManageEngine EventLog -analysaattori
ManageEngine, toinen yleinen nimi verkonvalvojien keskuudessa, tekee loistavasta lokinhallintajärjestelmästä nimeltään ManageEngine EventLog -analysaattori. Tuote kerää, hallitsee, analysoi, korreloi ja etsii yli 700 lähteen lokitiedot yhdistelmällä agenttittomia ja agenttipohjaisia lokikokoelmia sekä lokien tuontia.
Nopeus on yksi ManageEngine EventLog -analysaattoriVahvuus. Se voi käsitellä lokitietoja vaikuttavalla 25 000 lokilla sekunnissa ja havaita hyökkäyksiä reaaliajassa. Se voi myös suorittaa nopean oikeuslääketieteellisen analyysin rikkomuksen vaikutusten vähentämiseksi. Järjestelmän auditointimahdollisuudet ulottuvat verkon kehälaitteiden lokiin, käyttäjän toimintoihin, palvelintilien muutoksiin, käyttäjän käyttöoikeuksiin ja muuhun, mikä auttaa sinua vastaamaan turvallisuustarkastuksen tarpeisiin.
Ja ManageEngine EventLog -analysaattori on saatavana ilmaiseksi rajoitetussa ilmaisversiossajoka tukee vain viittä lokilähdettä tai premium-version, joka alkaa 595 dollarista ja vaihtelee laitteiden ja sovellusten määrän mukaan. Saatavana on myös ilmainen, monipuolinen 30 päivän kokeiluversio.
Kommentit