Con i sistemi di oggi che generano un sacco di registrazionedati, non sorprende che gli amministratori siano sempre alla ricerca di soluzioni di gestione dei log. I registri sono, per impostazione predefinita, spesso memorizzati localmente. Questo ha senso in quanto rende facile collegarli alla loro fonte. Ma quando proviamo a risolvere i problemi e a trovarne la causa principale, a volte dobbiamo esaminare più file di registro su numerosi dispositivi. Non sarebbe bello se tutti i log di tutti i dispositivi fossero archiviati in un unico posto centralizzato? Questo è lo scopo della gestione dei registri. E se la tua piattaforma preferita è Linux, ci sono molte opzioni disponibili. Continua a leggere mentre scopriamo alcuni dei migliori log management per Linux
Inizieremo definendo la gestione dei registri. Vedrai che può essere molto più che centralizzare l'archiviazione dei log. Successivamente, discuteremo di varie tecnologie di registrazione. Sono la pietra angolare della gestione dei registri e probabilmente non esisterebbero senza di loro. Continuando, distingueremo i server syslog dai sistemi di gestione dei log e ci renderemo conto che non esiste una chiara demarcazione tra di loro. Successivamente, faremo una breve pausa e discuteremo dei sistemi di gestione delle informazioni sulla sicurezza e degli eventi. Sono un altro tipo di sistema che viene spesso confuso con la gestione dei registri, grazie alla definizione alquanto poco chiara di ciascuno. E infine, esamineremo la migliore gestione dei log per Linux.
Che cos'è la gestione dei registri?
Prima di parlare della gestione dei log, cerchiamo didefinire cos'è un registro. Semplicemente definito, un registro è la documentazione prodotta automaticamente e timestamp di un evento rilevante per un particolare sistema. In altre parole, ogni volta che si verifica un evento su un sistema, viene generato un registro. Sistemi e dispositivi genereranno registri per diversi tipi di eventi e molti sistemi offrono agli amministratori un certo grado di controllo su quali eventi generano un registro e quali no.
Per quanto riguarda la gestione dei registri, si sta semplicemente riferendo ai processi e le politiche utilizzati per amministrare e facilitare la generazione, la trasmissione, l'analisi, l'archiviazione, l'archiviazione e l'eventuale eliminazione di grandi volumi di dati di registro. Sebbene non sia chiaramente indicato, la gestione dei registri implica un sistema centralizzato in cui vengono raccolti registri da più fonti. Tuttavia, la gestione dei registri non è solo una raccolta di registri. È la parte gestionale che è la più importante. E i sistemi di gestione dei log spesso hanno più funzionalità, la raccolta dei log è solo una di queste.
Una volta ricevuti i registri dalla gestione dei registrisistema, devono essere standardizzati in un formato comune poiché diversi formati di sistema registrano in modo diverso e includono dati diversi. Alcuni iniziano un registro con la data e l'ora, altri lo avviano con un numero di evento. Alcuni includono solo un ID evento mentre altri includono una descrizione full-text dell'evento. Uno degli scopi dei sistemi di gestione dei registri è garantire che tutte le voci di registro raccolte siano archiviate in un formato uniforme. In questo modo la correlazione degli eventi e l'eventuale ricerca saranno molto più semplici.
Anche la correlazione e la ricerca sono due ulterioriprincipali funzioni di numerosi sistemi di gestione dei log. I migliori dispongono di un potente motore di ricerca che consente agli amministratori di concentrarsi esattamente su ciò di cui hanno bisogno. Le funzioni di correlazione raggrupperanno automaticamente gli eventi correlati, anche se provengono da fonti diverse. In che modo - e con successo - i diversi sistemi di gestione dei log riescono a costituire un importante fattore di differenziazione.
LEGGI ANCHE: 15 migliori strumenti di monitoraggio della rete (la nostra recensione)
Tecnologie di registrazione
La gestione dei registri sarebbe molto più difficile,forse nemmeno possibile, se non fosse per i protocolli di registrazione. Alcuni di loro esistono. Definiscono quali dati devono essere inclusi nei registri, come devono essere formattati e, a volte, come devono essere trasmessi tra i sistemi.
Syslog è probabilmente la registrazione più utilizzataprotocollo, specialmente nel mondo Linux. La tecnologia è stata inventata nei primi anni ottanta ed è diventata lo standard di fatto per tutti i sistemi simili a Unix. Uno dei maggiori vantaggi della tecnologia syslog è il modo in cui facilita la separazione tra il sistema o il software che genera i registri, il sistema che li memorizza e il software che li riporta e li analizza. L'uso della tecnologia Syslog semplifica notevolmente la gestione dei log. E Syslog non è un'esclusiva Unix. Molti dispositivi non Unix come switch, router e tutti i tipi di apparecchiature di molti fornitori utilizzano una variante del protocollo syslog.
Esistono altre tecnologie di registrazione. Microsoft Windows, ad esempio, utilizza un sistema di registrazione diverso. Potrebbe avere a che fare con il fatto che i sistemi operativi e le applicazioni Windows dispongono di registri che in genere contengono informazioni più dettagliate di quelle consentite dalla tecnologia Syslog. Fortunatamente, le funzioni di Windows Event Collector forniscono un mezzo per la gestione dei log che vari sistemi possono utilizzare per ricevere eventi dagli host Windows. Questo post riguarda la gestione dei log di Linux, quindi non perdiamo troppo tempo su Windows.
Indipendentemente dalla tecnologia di registrazione utilizzata, unparte importante della gestione dei registri è la configurazione dei dispositivi per l'invio dei registri al sistema di gestione. Altri tipi di strumenti come i sistemi di monitoraggio della rete possono recuperare i dati dai sistemi che monitorano, ma con la gestione dei registri, ogni dispositivo deve essere "informato" dove inviare i propri registri. È, tuttavia, un compito relativamente semplice che viene spesso eseguito emettendo un comando semplice.
ULTERIORI LETTURE: Il miglior software di mappatura e topologia dei diagrammi di rete
Server di registro o Gestione dei registri?
Dal momento che è stato disponibile su ogni tipo di Unixsistema, incluso Linux, per un po 'di tempo, Syslog è spesso usato come server di log con un computer che riceve i dati Syslog da molti altri. Sebbene questa memorizzazione centralizzata dei registri abbia determinati vantaggi, non è sufficiente chiamarla gestione dei registri.
Per meritare il nome del sistema di gestione dei registri, ail prodotto deve includere almeno alcune delle funzioni più avanzate. Secondo Wikipedia, "la gestione dei registri comprende le seguenti funzioni: raccolta dei registri, aggregazione centralizzata dei registri, memorizzazione e conservazione dei registri a lungo termine, rotazione dei registri, analisi dei registri, ricerca dei registri e rapporti". Wow! Questa è molta funzionalità. I server di log, d'altra parte, spesso offrono solo la raccolta e l'archiviazione dei log e raramente più di questo.
Una parola (o due) su SIEM
Un'altra tecnologia popolare che è associatacon i registri e spesso confuso con i sistemi di gestione dei registri è Security Information and Event Management, o SIEM. Questo è diverso dalla gestione dei log ma è strettamente correlato. La linea è così sottile tra loro che alcuni prodotti pubblicizzati come sistemi di gestione dei registri sono in realtà sistemi SIEM mentre alcuni sistemi SIEM di base non sono altro che sistemi avanzati di gestione dei registri.
La confusione deriva dal fatto che logla gestione, o per lo meno l'analisi dei log, è un componente importante dei sistemi SIEM. Ciò che differenzia i sistemi SIEM è che eseguono analisi dei log con l'obiettivo finale di identificare i problemi di sicurezza. Ad esempio, cercheranno segni di accessi non riusciti che potrebbero essere un segnale rivelatore di un tentativo di intrusione non autorizzato. Questi sistemi scansionano continuamente le voci del registro alla ricerca di qualcosa di straordinario. Mentre alcuni sistemi SIEM includono ampie funzionalità di gestione dei registri, alcuni utilizzano un sistema di gestione dei registri esterno e non è raro vedere entrambi i sistemi in esecuzione fianco a fianco.
LETTURA CORRELATA: I migliori scanner IP per Mac
La migliore gestione dei registri per Linux
Speriamo che ora abbiamo una comprensione comune dicos'è la gestione dei registri e cosa non lo è. Quindi, diamo un'occhiata a ciò che è disponibile per Linux. Ma prima, chiariamo qualcosa. Quando ci riferiamo alla gestione dei log di Linux, intendiamo i sistemi di gestione dei log che possono ospitare i log di Linux e che verranno eseguiti sulla piattaforma Linux o nel cloud. Alcune delle nostre selezioni, in particolare i sistemi basati su cloud, funzioneranno anche con i log di altre piattaforme.
1. SolarWinds Papertrail (PIANO GRATUITO DISPONIBILE)
SolarWinds è diventato un nome familiare nella reteamministratori. Sta producendo alcuni dei migliori strumenti da quasi 20 anni, offrendo grandi strumenti di monitoraggio della larghezza di banda e uno dei migliori analizzatori e raccoglitori NetFlow. La società è anche nota per la pubblicazione di numerosi strumenti gratuiti che rispondono ad alcune esigenze specifiche degli amministratori di rete come il calcolatore di sottorete o un server syslog.
- PIANO GRATUITO: SolarWinds Papertrail
- Link per il download ufficiale: https://papertrailapp.com/plans
Non molto tempo fa, SolarWinds acquisite Papertrail, un popolare sistema di gestione dei registri. Aggrega i file di registro da una vasta gamma di prodotti popolari come Apache o MySQL, nonché le app Ruby on Rails, diversi servizi di cloud hosting e altri file di registro standard basati su testo e syslog. Papertrail gli utenti possono quindi utilizzare l'interfaccia di ricerca basata sul webo strumenti da riga di comando per cercare questi file per diagnosticare vari problemi. Papertrail si integra anche con altri prodotti SolarWinds come Librato e Geckoboard per la rappresentazione grafica dei risultati.
Papertrail è un software come servizio (SaaS) basato su cloudofferta da SolarWinds. Essere basati su cloud significa che funzionerà bene in un ambiente tutto Linux. La piattaforma è facile da implementare, utilizzare e comprendere e ti darà visibilità istantanea su tutti i sistemi in pochi minuti. Inoltre, il prodotto ha un motore di ricerca molto efficace in grado di cercare registri archiviati e in streaming. Ed è velocissimo.
Papertrail è disponibile in diversi piani, incluso uno gratuitoPiano. Tuttavia, è in qualche modo limitato e consente solo 100 MB di log al mese. Consentirà tuttavia 16 GB di log nel primo mese, il che equivale a fornire una prova gratuita di 30 giorni. I piani pagati partono da $ 7 / mese per 1 GB / mese di registri, 1 anno di archivio e 1 settimana di indice. Il filtro antirumore consente allo strumento di conservare i dati non salvando registri inutili.
2. Loggly
Loggly è un altro servizio online basato su cloud. Principalmente un consolidatore di log, offre anche funzionalità di analisi dei log. Essendo basato sul cloud, questo sistema non richiede installazione ed è pronto per l'uso nel momento in cui ti abboni. Ovviamente, i tuoi sistemi e dispositivi dovranno essere configurati per caricare periodicamente i loro file di registro standard sul server online.
- PROVA GRATUITA: Piani logici
- Link ufficiale: https://www.loggly.com
Loggly quindi converte i dati del registro ricevuti in aformato standard, consentendo in tal modo all'analizzatore di elaborare i record da varie fonti e consentire il tracciamento e la correlazione degli eventi tra tutti i sistemi, indipendentemente dal sistema operativo o dalla tecnologia di registrazione. Le origini dei dati di registro non si limitano ai server locali. Il sistema è, ovviamente, in grado di elaborare i registri generati dai server online, come AWS di Amazon e può includere messaggi creati da applicazioni specifiche come Docker e Logstash, solo per citarne alcuni.
Il Loggly il servizio è disponibile in tre diversi piani,con l'aumento dei limiti di elaborazione dei dati e dei tempi di conservazione. Devi scegliere quello giusto per darti abbastanza spazio per i tuoi dati di registro. Viene chiamato il piano di base Loggly Light. È gratis da usare. In base a questo piano, è possibile caricare 200 MB di dati di registro al giorno e il sistema conserverà ogni record per sette giorni. Il prossimo è il piano Standard che ti dà un'indennità di upload di 1 GB al giorno e conserva i record per 30 giorni. I piani a pagamento ti consentono anche di utilizzare più account utente. Con il pacchetto Standard, puoi avere tre account utente. Viene chiamato il livello superiore Loggly Enterprise. Non ha limiti al numero di account utenti che è possibile impostare e i prezzi variano in base alla quantità di capacità di caricamento e al periodo di conservazione richiesto. Il pagamento per tutti i piani a pagamento può essere mensile o annuale e una versione di prova gratuita di 14 giorni è disponibile sul piano Standard.
3. Splunk
Splunk è ben noto all'interno dell'amministrazione di sistemacomunità: sistema completo di gestione dei registri per Linux, Mac OS e Windows. Più che un semplice sistema di gestione dei registri, alcuni lo considerano un vero e proprio sistema di prevenzione delle intrusioni. Il prodotto è disponibile in tre versioni. In cima è Splunk Enterprise che è più un sistema di gestione della rete piuttosto che uno strumento di gestione dei registri. Il prezzo parte da $ 173 al mese e ottieni molte funzionalità.
Esiste anche una versione gratuita di Splunk che è sostanzialmente lo stesso strumento senza alcunile sue funzionalità più avanzate. In sostanza, è limitato all'analisi dei file di registro. È possibile inserire qualsiasi file di registro standard o inviarlo in tempo reale attraverso un file nell'analizzatore. La versione gratuita ha alcune limitazioni. Ad esempio, può avere un solo account utente e la velocità di trasmissione dei dati è limitata a 500 MB di log al giorno. La funzionalità di ordinamento e filtro dei dati è integrata in Splunk, facilitando le attività di risoluzione dei problemi. È possibile utilizzare queste funzionalità per dividere i record di registro per data e scrivere ogni gruppo in nuovi file. In effetti, questa funzionalità è molto flessibile.
4. Nagios Log Server
Nagios è noto soprattutto per l'eccellente software di monitoraggio della rete, ma il suo Log Server è altrettanto interessante. Il prodotto è semplicemente chiamato il Nagios Log Server e offre una gestione centralizzata dei log,monitoraggio e analisi. Questo strumento può semplificare notevolmente il processo di ricerca dei dati di registro. Inoltre, consente di impostare avvisi per la notifica di potenziali minacce. Inoltre, il software dispone di elevata disponibilità e failover integrati. Inoltre, le sue semplici procedure guidate di configurazione dell'origine ti aiuteranno a configurare rapidamente i server per inviare tutti i dati di registro e iniziare a monitorare i tuoi registri in pochi minuti.
Il Nagios Log Server consente una facile correlazione degli eventi di registrosu tutti i server in pochi clic. Il sistema ti permetterà di visualizzare i dati di registro in tempo reale, dandoti la possibilità di analizzare e risolvere i problemi non appena si verificano. Il prodotto presenta un'impressionante scalabilità e continuerà a soddisfare le tue esigenze man mano che la tua organizzazione cresce. addizionale Nagios Log Server le istanze possono essere aggiunte a un cluster di monitoraggio, consentendo di aggiungere rapidamente più potenza, velocità, archiviazione e affidabilità.
Il prezzo a istanza singola per il Nagios Log Server costa $ 3 995 e sebbene una versione di prova gratuita non sembri essere disponibile, una demo online gratuita è, se preferisci dare un'occhiata diretta al prodotto.
5. Graylog
Il prossimo nella nostra lista è un prodotto chiamato Graylog. Il prodotto offre molte funzionalità interessanti. Lo strumento analizzerà e arricchirà registri e dati di eventi da qualsiasi origine dati. Le pipeline di elaborazione consentono una certa flessibilità nell'instradamento, nella lista nera, nella modifica e nell'arricchimento dei messaggi in tempo reale. Graylog cercherà terabyte di dati di registro per scoprire e analizzare informazioni importanti. La potente sintassi della ricerca ti consente di trovare esattamente quello che stai cercando.
Con Graylog, puoi creare dashboard per visualizzare le metrichee osservare le tendenze in una posizione centrale. È possibile utilizzare statistiche sul campo, valori rapidi e grafici dalla pagina dei risultati della ricerca per approfondire l'analisi più approfondita dei dati. Il sistema ha anche la possibilità di attivare azioni o inviare notifiche su eventi come tentativi di accesso non riusciti, eccezioni o degrado delle prestazioni.
Graylog è un sistema gratuito basato su file di registro open source chepuò darti molte più funzionalità di una semplice utility di archiviazione dei log. Questo analizzatore di log ha un'interfaccia utente grafica e può essere eseguito su Ubuntu, Debian, CentOS e SUSE Linux. Puoi anche eseguirlo su una macchina virtuale su Microsoft Windows e puoi installare il sistema Graylog su Amazon AWS.
6. ManageEngine EventLog Analyzer
ManageEngine, un altro nome comune tra gli amministratori di rete, crea un eccellente sistema di gestione dei log chiamato ManageEngine EventLog Analyzer. Il prodotto raccoglierà, gestirà, analizzerà, correlerà e cercherà tra i dati di registro di oltre 700 fonti utilizzando una combinazione di raccolta di registri senza agenti e basata su agenti e importazione dei registri.
La velocità è una delle ManageEngine EventLog AnalyzerLa forza. È in grado di elaborare i dati dei registri a ben 25.000 registri / secondo e rilevare gli attacchi in tempo reale. Può anche eseguire analisi forensi rapide per ridurre l'impatto di una violazione. Le capacità di controllo del sistema si estendono ai registri dei dispositivi perimetrali di rete, alle attività degli utenti, alle modifiche dell'account del server, agli accessi degli utenti e altro, aiutandoti a soddisfare le esigenze di controllo della sicurezza.
Il ManageEngine EventLog Analyzer è disponibile in un'edizione gratuita ridotta di funzionalitàche supporta solo 5 origini log o in un'edizione premium che parte da $ 595 e varia in base al numero di dispositivi e applicazioni. È inoltre disponibile una versione di prova gratuita di 30 giorni con funzionalità complete.
Commenti