Mūsdienu sistēmas rada ļoti daudz mežizstrādesdati, nav pārsteigums, ka administratori vienmēr meklē žurnālu pārvaldības risinājumus. Pēc noklusējuma žurnālus bieži glabā lokāli. Tam ir jēga, jo tas ļauj tos viegli saistīt ar avotu. Bet, mēģinot novērst problēmas un atrast to galveno cēloni, mums dažreiz ir jāskatās uz vairākiem žurnālfailiem daudzās ierīcēs. Vai nebūtu jauki, ja visi žurnāli no visām ierīcēm tiktu glabāti vienā, centralizētā vietā? Tas ir žurnāla pārvaldības mērķis. Un, ja jūsu izvēlētā platforma ir Linux, ir pieejams daudz iespēju. Lasiet tālāk, kad mēs atklājam dažus no labākajiem žurnālu pārvaldības veidiem Linux
Sākumā definēsim žurnālu pārvaldību. Jūs redzēsit, ka tas var būt nedaudz vairāk nekā tikai žurnālu glabāšanas centralizēšana. Tālāk mēs apspriedīsim dažādas mežizstrādes tehnoloģijas. Tie ir žurnālu pārvaldības stūrakmens, un bez tiem tas, visticamāk, neeksistētu. Turpinot, mēs atšķirsim syslog serverus no žurnālu pārvaldības sistēmām un sapratīsim, ka starp tiem nav skaidru norobežojumu. Pēc tam mēs īsi apstādināsim un pārrunāsim drošības informācijas un notikumu pārvaldības sistēmas. Tie ir vēl viens sistēmas tips, kuru bieži sajauc ar žurnālu pārvaldību, pateicoties nedaudz neskaidrajai katras definīcijai. Visbeidzot, mēs pārskatīsim labāko žurnālu pārvaldību operētājsistēmai Linux.
Kas ir žurnālu pārvaldība?
Pirms mēs varam runāt par žurnālu pārvaldību, pieņemsimdefinējiet, kas ir žurnāls. Vienkārši definēts žurnāls ir automātiski izveidota un ar laika zīmogu saistīta notikuma dokumentācija, kas attiecas uz konkrētu sistēmu. Citiem vārdiem sakot, ikreiz, kad kāds notikums notiek sistēmā, tiek ģenerēts žurnāls. Sistēmas un ierīces ģenerēs žurnālus dažāda veida notikumiem, un daudzas sistēmas administratoriem ļauj zināmā mērā kontrolēt, kurš notikums ģenerē žurnālu un kurš ne.
Kas attiecas uz žurnālu pārvaldību, tas vienkārši attiecas uzprocesi un politikas, ko izmanto, lai administrētu un atvieglotu liela žurnāldatu apjoma ģenerēšanu, pārsūtīšanu, analīzi, glabāšanu, arhivēšanu un iespējamu iznīcināšanu. Lai arī tas nav skaidri noteikts, žurnālu pārvaldīšana nozīmē centralizētu sistēmu, kurā tiek vākti žurnāli no vairākiem avotiem. Žurnāla pārvaldība tomēr nav tikai žurnālu kolekcija. Tieši vadības daļa ir vissvarīgākā. Žurnālu pārvaldības sistēmām bieži ir vairākas funkcijas, un žurnālu savākšana ir tikai viena no tām.
Kad žurnāli ir saņēmuši žurnālussistēmai, tie jāstandartizē kopējā formātā, jo dažādu sistēmu formātu žurnāli ir atšķirīgi un tajos jāietver dažādi dati. Daži sāk žurnālu ar datumu un laiku, citi sāk ar notikuma numuru. Dažās ir tikai pasākuma ID, savukārt citās ir pilnīgs notikuma apraksts. Viens no žurnālu pārvaldības sistēmu mērķiem ir nodrošināt, ka visi savāktie žurnāla ieraksti tiek glabāti vienotā formātā. Tas ievērojami atvieglos notikumu korelāciju un iespējamo meklēšanu.
Pat korelācija un meklēšana ir divas papilduvairāku žurnālu pārvaldības sistēmu galvenās funkcijas. Vislabākais no tiem piedāvā jaudīgu meklētājprogrammu, kas ļauj administratoriem precīzi noteikt nepieciešamo. Korelācijas funkcijas automātiski grupēs saistītos notikumus, pat ja tie ir no dažādiem avotiem. Kā un cik veiksmīgi tiek izpildīta atšķirīga žurnālu pārvaldības sistēma, tas ir būtisks atšķirības faktors.
ARĪ LASĪT: 15 labākie tīkla uzraudzības rīki (mūsu pašu pārskats)
Mežizstrādes tehnoloģijas
Žurnāla pārvaldība būtu daudz grūtāka,varbūt pat nav iespējams, ja tas nebūtu paredzēts protokolu reģistrēšanai. Daži no tiem pastāv. Tie nosaka, kādi dati jāiekļauj žurnālos, kā tie jāformatē un dažreiz - kā tie jāpārraida starp sistēmām.
Iespējams, ka Syslog ir visvairāk izmantotā reģistrēšanaprotokols, it īpaši Linux pasaulē. Šī tehnoloģija tika izgudrota astoņdesmito gadu sākumā, un tā ir kļuvusi par de facto standartu visām Unix līdzīgajām sistēmām. Viens no lielākajiem syslog tehnoloģijas ieguvumiem ir tas, kā tas atvieglo atdalīšanu starp sistēmu vai programmatūru, kas ģenerē žurnālus, sistēmu, kas tos glabā, un programmatūru, kas tos ziņo un analizē. Izmantojot tehnoloģiju Syslog, žurnālu pārvaldība ir daudz vienkāršāka. Un Syslog nav ekskluzīvs Unix. Daudzas ierīces, kas nav Unix ierīces, piemēram, slēdži, maršrutētāji un visa veida aprīkojums no daudziem pārdevējiem, izmanto syslog protokola variantu.
Ir arī citas mežizstrādes tehnoloģijas. Piemēram, Microsoft Windows izmanto citu reģistrēšanas sistēmu. Tas varētu būt saistīts ar faktu, ka Windows operētājsistēmām un lietojumprogrammām ir žurnāli, kas parasti satur sīkāku informāciju, nekā atļauj tehnoloģija Syslog. Par laimi, Windows Event Collector funkcijas nodrošina žurnālu pārvaldību, ko dažādas sistēmas var izmantot, lai saņemtu pasākumus no Windows resursdatoriem. Šī ziņa ir par Linux žurnālu pārvaldību, tāpēc tomēr netērēsim pārāk daudz laika operētājsistēmai Windows.
Neatkarīgi no tā, kāda mežizstrādes tehnoloģija tiek izmantota, ansvarīga žurnāla pārvaldības daļa ir ierīču konfigurēšana, lai nosūtītu savus žurnālus uz pārvaldības sistēmu. Cita veida rīki, piemēram, tīkla uzraudzības sistēmas, var iegūt datus no pārraudzītajām sistēmām, bet, izmantojot žurnālu pārvaldību, katrai ierīcei ir “jāinformē”, kur sūtīt savus žurnālus. Tas tomēr ir samērā vienkāršs uzdevums, kuru bieži veic, izdodot vienkāršu komandu.
PAPILDUS LASĪJUMS: Labākā tīkla diagrammu kartēšanas un topoloģijas programmatūra
Žurnālu serveri vai žurnālu pārvaldība?
Tā kā tas ir pieejams visos Unix modeļossistēmu, ieskaitot Linux, diezgan ilgu laiku Syslog bieži izmanto kā žurnāla serveri ar vienu datoru, kas saņem Syslog datus no vairākiem citiem. Kaut arī šai centralizētai žurnālu glabāšanai ir noteiktas priekšrocības, ar to vien nepietiek, lai sauktu par žurnālu pārvaldību.
Lai būtu pelnījis žurnāla pārvaldības sistēmas nosaukumu, aProduktam jāietver vismaz dažas no modernākajām funkcijām. Saskaņā ar Wikipedia, “žurnālu pārvaldība sastāv no šādām funkcijām: žurnālu savākšana, centralizēta žurnālu apkopošana, žurnālu ilgtermiņa glabāšana un saglabāšana, žurnālu pagriešana, žurnālu analīze, žurnālu meklēšana un ziņošana”. Oho! Tā ir daudz funkcionalitātes. Turpretī žurnālu serveri bieži piedāvā tikai žurnālu savākšanu un glabāšanu, un reti kurš vairāk.
Vārds (vai divi) par SIEM
Vēl viena populāra tehnoloģija, kas ir saistītaar žurnāliem un bieži tiek sajaukts ar žurnālu pārvaldības sistēmām, ir drošības informācija un notikumu pārvaldība jeb SIEM. Tas atšķiras no žurnālu pārvaldības, taču tas ir cieši saistīts. Starp tām līnija ir tik maza, ka daži produkti, kas tiek reklamēti kā žurnālu pārvaldības sistēmas, faktiski ir SIEM sistēmas, savukārt dažas pamata SIEM sistēmas ir nekas vairāk kā uzlabotas žurnālu pārvaldības sistēmas.
Neskaidrības rodas no tā, ka žurnālsvadība vai vismaz žurnālu analīze ir svarīga SIEM sistēmu sastāvdaļa. SIEM sistēmas atšķir tas, ka tās veic žurnālu analīzi ar galveno mērķi identificēt drošības problēmas. Viņi, piemēram, meklēs neveiksmīgu pieteikšanos pazīmes, kas varētu būt neatļauta ielaušanās mēģinājuma indikators. Šīs sistēmas nepārtraukti skenē žurnālu ierakstus, meklējot kaut ko neparastu. Kaut arī dažās SIEM sistēmās ir plašas žurnālu pārvaldības funkcijas, citas izmanto ārēju žurnālu pārvaldības sistēmu, un nav retums redzēt abas sistēmas darbojas blakus.
SAISTĪTS LASĪJUMS: Labākie IP skeneri Mac
Labākā žurnālu pārvaldība operētājsistēmai Linux
Cerams, ka tagad mums ir kopīga izpratne parkas ir žurnāla pārvaldība un kas tā nav. Apskatīsim, kas ir pieejams operētājsistēmai Linux. Bet vispirms noskaidrosim kaut ko. Ja runājam par Linux žurnālu pārvaldību, mēs domājam žurnālu pārvaldības sistēmas, kuras var uzņemt Linux žurnālus un kuras darbosies gan uz Linux platformas, gan mākonī. Daži no mūsu atlasiem, īpaši uz mākoņa balstītām sistēmām, darbosies arī ar žurnāliem no citām platformām.
1. SolarWinds Papertrail (PIEEJAMS BEZMAKSAS PLĀNS)
SolarWinds ir kļuvis par mājsaimniecības vārdu starp tīkliemadministratori. Tas padara dažus no labākajiem rīkiem gandrīz 20 gadu laikā, sniedzot mums lieliskus joslas platuma uzraudzības rīkus un vienu no labākajiem NetFlow analizatoriem un kolekcionāriem. Uzņēmums ir arī plaši pazīstams ar vairāku bezmaksas rīku publicēšanu, kas attiecas uz dažām tīkla administratoru īpašajām vajadzībām, piemēram, apakštīkla kalkulatoru vai syslog serveri.
- BEZMAKSAS PLĀNS: SolarWinds Papertrail
- Oficiālā lejupielādes saite: https://papertrailapp.com/plans
Ne tik sen, SolarWinds iegūts Papertrail, populāra žurnālu pārvaldības sistēma. Tas apkopo žurnālfailus no ļoti dažādiem populāriem produktiem, piemēram, Apache vai MySQL, kā arī no lietotnēm Ruby on Rails, dažādiem mākoņa mitināšanas pakalpojumiem un citiem standarta syslog un teksta bāzes failiem. Papertrail lietotāji pēc tam var izmantot tīmekļa meklēšanas saskarnivai komandrindas rīkus, lai meklētu caur šiem failiem, lai palīdzētu diagnosticēt dažādas problēmas. Papertrail arī tiek integrēts ar citiem SolarWinds produktiem, piemēram, Librato un Geckoboard, lai parādītu grafikus.
Papertrail ir uz mākoņiem balstīta programmatūra kā pakalpojums (SaaS)piedāvājums no SolarWinds. Tā kā tā ir balstīta uz mākoņiem, tas nozīmē, ka tā darbosies labi vidējā Linux vidē. Platformu ir viegli ieviest, lietot un saprast, un tā dažu minūšu laikā nodrošinās tūlītēju redzamību visās sistēmās. Turklāt produktam ir ļoti efektīva meklētājprogramma, kas var meklēt gan glabātajos, gan straumēšanas žurnālos. Un tas ir zibens ātri.
Papertrail ir pieejams saskaņā ar vairākiem plāniem, ieskaitot bezmaksasplāns. Tomēr tas ir nedaudz ierobežots, un katru mēnesi tas atļauj tikai 100 MB žurnālu. Tomēr tas ļaus 16 GB žurnālu pirmajā mēnesī, kas ir līdzvērtīgs bezmaksas 30 dienu izmēģinājuma perioda nodrošināšanai. Apmaksātu plānu sākums ir USD 7 mēnesī par 1 GB mēnesī žurnāliem, 1 gada arhīva un 1 nedēļas indeksa. Trokšņa filtrēšana ļauj rīkam saglabāt datus, nesaglabājot bezjēdzīgus žurnālus.
2. Loggly
Loggly ir vēl viens mākonis balstīts tiešsaistes pakalpojums. Galvenokārt žurnālu apkopotājs, tas piedāvā arī žurnālu analīzes funkcionalitāti. Tā kā šai mākonim ir jābalstās, šai sistēmai nav nepieciešama instalēšana un tā ir gatava izmantot jūsu abonētās minūtes. Protams, jūsu sistēmas un ierīces būs jākonfigurē, lai periodiski augšupielādētu savus standarta žurnālfailus tiešsaistes serverī.
- BEZMAKSAS IZMĒĢINĀJUMA VERSIJA: Loggly plāni
- Oficiālā saite: https://www.loggly.com
Loggly pēc tam saņemtos žurnāla datus pārveido parstandarta formāts, tādējādi ļaujot analizatoram apstrādāt ierakstus no dažādiem avotiem un nodrošinot notikumu izsekošanu un korelāciju visās sistēmās neatkarīgi no operētājsistēmas vai reģistrēšanas tehnoloģijas. Žurnāla datu avoti nav tikai jūsu lokālie serveri. Sistēma, protams, spēj apstrādāt žurnālus, ko ģenerējuši tiešsaistes serveri, piemēram, Amazon's AWS, un tajā var iekļaut ziņojumus, ko izveidojušas īpašas lietojumprogrammas, piemēram, Docker un Logstash, tikai dažus nosaucot.
Uz Loggly pakalpojums ir pieejams trīs dažādos plānos,palielinoties datu apstrādes ierobežojumiem un saglabāšanas laikam. Lai izvēlētos pietiekami daudz vietas žurnāla datiem, jums jāizvēlas pareizais. Sākuma līmeņa plāns tiek saukts Loggly Lite. To var izmantot bez maksas. Saskaņā ar šo plānu jūs varat augšupielādēt 200 MB žurnāla datus dienā, un sistēma katru ierakstu saglabās septiņas dienas. Nākamais ir standarta plāns, kas piešķir augšupielādes pabalstu 1 GB dienā un saglabā ierakstus 30 dienas. Apmaksāti plāni ļauj arī izmantot vairākus lietotāju kontus. Izmantojot paketi Standarta, jums var būt trīs lietotāju konti. Tiek saukta augstākā pakāpe Loggly Uzņēmējdarbība. Iestatīto lietotāju kontu skaitam nav ierobežojumu, un cenas mainās atkarībā no nepieciešamās augšupielādes iespējas un saglabāšanas perioda. Maksu par visiem apmaksātajiem plāniem var veikt katru mēnesi vai katru gadu, un standarta plānā ir pieejama bezmaksas 14 dienu izmēģinājuma versija.
3. Splunk
Splunk ir plaši pazīstams - sistēmas administrācijākopiena - visaptveroša žurnālu pārvaldības sistēma operētājsistēmai Linux, Mac OS un Windows. Vairāk nekā tikai pamata žurnālu pārvaldības sistēma, daži to uzskata par pilnvērtīgu ielaušanās novēršanas sistēmu. Produkts ir pieejams trīs versijās. Augšpusē ir Splunk Enterprise kas drīzāk ir tīkla pārvaldības sistēma, nevis tikai žurnālu pārvaldības rīks. Cenas sākas no USD 173 mēnesī, un jūs iegūstat daudz funkcionalitātes.
Ir arī bezmaksas vietnes versija Splunk kas būtībā ir tas pats rīks bez dažiem notā visprogresīvākās funkcijas. Būtībā tas aprobežojas ar žurnālfailu analīzi. Varat ievietot jebkurā no standarta žurnālu failiem vai nosūtīt tos tiešos datus caur failu analizatorā. Bezmaksas versijai ir daži ierobežojumi. Piemēram, tam var būt tikai viens lietotāja konts, un tā datu caurlaidspēja ir ierobežota līdz 500 MB žurnālu dienā. Datu šķirošanas un filtrēšanas funkcionalitāte ir iebūvēta Splunk, atvieglojot problēmu novēršanu. Šīs funkcijas var izmantot, lai dalītu žurnāla ierakstus pēc datuma un rakstītu katru grupu jauniem failiem. Faktiski šī funkcionalitāte ir ļoti elastīga.
4. Nagios žurnālu serveris
Nagios ir vislabāk pazīstama ar izcilu tīkla uzraudzības programmatūru, taču tās žurnālserveris ir tikpat interesants. Produktu vienkārši sauc par Nagios žurnālu serveris un tā piedāvā centralizētu žurnālu pārvaldību,uzraudzība un analīze. Šis rīks var ievērojami vienkāršot žurnālu datu meklēšanas procesu. Tas arī ļauj iestatīt trauksmes signālus par iespējamiem draudiem. Turklāt programmatūrai ir augsta pieejamība, un tieši tajā ir iebūvēts kļūmes novēršanas līdzeklis. Turklāt viegli avota iestatīšanas vedņi palīdzēs ātri konfigurēt serverus, lai nosūtītu visus žurnāla datus un sāktu pārraudzīt žurnālus dažu minūšu laikā.
Uz Nagios žurnālu serveris ļauj viegli korelēt žurnāla notikumusvisos serveros tikai ar dažiem klikšķiem. Sistēma ļaus jums skatīt žurnāla datus reāllaikā, dodot jums iespēju analizēt un risināt problēmas, kad tās rodas. Produktam ir iespaidīga mērogojamība, un tas turpinās atbilst jūsu vajadzībām, pieaugot jūsu organizācijai. Papildu Nagios žurnālu serveris gadījumus var pievienot uzraudzības klasterim, ļaujot jums ātri pievienot vairāk enerģijas, ātruma, atmiņas un uzticamības.
Vienas instances cena Nagios žurnālu serveris ir 3 995 USD un, lai arī bezmaksas izmēģinājums, šķiet, nav pieejams, ja tiešsaistē vēlaties demonstrēt produktu, tas ir bezmaksas tiešsaistes demonstrācija.
5. Greylog
Nākamais mūsu sarakstā ir produkts ar nosaukumu Greylog. Produkts piedāvā daudzas interesantas iespējas. Rīks parsēs un bagātinās žurnālus un notikumu datus no jebkura datu avota. Tās apstrādes cauruļvadi nodrošina zināmu elastību maršrutēšanā, melnajā sarakstā, modificēšanā un bagātināšanā ziņojumos reāllaikā. Greylog meklēs, izmantojot terabaitus žurnāla datus, lai atklātu un analizētu svarīgu informāciju. Jaudīgā meklēšanas sintakse ļauj jums atrast tieši to, ko meklējat.
Ar Greylog, lai izveidotu metriku, varat izveidot informācijas paneļusun novērojiet tendences vienā centrālā vietā. Varat izmantot lauka statistiku, ātrās vērtības un diagrammas no meklēšanas rezultātu lapas, lai ienirtos jūsu datu dziļākai analīzei. Sistēmai ir arī iespēja aktivizēt darbības vai izdot paziņojumus par tādiem notikumiem kā neveiksmīgi pieteikšanās mēģinājumi, izņēmumi vai veiktspējas pasliktināšanās.
Greylog ir bezmaksas atvērtā koda žurnālfailu sistēma, kasvar sniegt jums daudz vairāk funkcionalitātes nekā tikai žurnālu arhivēšanas utilīta. Šim žurnālu analizatoram ir grafiska lietotāja saskarne, un tas var darboties Ubuntu, Debian, CentOS un SUSE Linux. Varat to arī palaist Microsoft Windows virtuālajā mašīnā un Graylog sistēmu instalēt Amazon AWS.
6. ManageEngine EventLog Analyzer
Pārvaldīt motoru, kas ir vēl viens tīkla administratora parastais nosaukums, padara izcilu žurnālu pārvaldības sistēmu ar nosaukumu ManageEngine EventLog Analyzer. Produkts apkopos, pārvaldīs, analizēs, korelē un meklēs žurnālu datus no vairāk nekā 700 avotiem, izmantojot bez aģenta un aģentu balstītu žurnālu kolekcijas kombināciju, kā arī žurnālu importēšanu.
Ātrums ir viens no ManageEngine EventLog AnalyzerSpēks. Tas var apstrādāt žurnāla datus ar iespaidīgu 25 000 žurnālu sekundē un reāllaikā atklāt uzbrukumus. Tas var arī veikt ātru kriminālistikas analīzi, lai samazinātu pārkāpuma ietekmi. Sistēmas audita iespējas attiecas uz tīkla perimetra ierīču žurnāliem, lietotāju darbībām, servera konta izmaiņām, lietotāju piekļuvi un daudz ko citu, palīdzot izpildīt drošības audita vajadzības.
Uz ManageEngine EventLog Analyzer ir pieejams bezmaksas izdevumā, kam ir samazināta funkcijakas atbalsta tikai 5 žurnālu avotus vai premium izdevumā, kura cena ir sākot no 595 USD un mainās atkarībā no ierīču un lietojumprogrammu skaita. Ir pieejama arī bezmaksas, pilnvērtīga 30 dienu izmēģinājuma versija.
Komentāri