PDF de programación - Administración centralizada de logs en una red de servidores

Linux Week 2008

Administración

centralizada de logs en
una red de servidores



Ing. Arturo Díaz Rosemberg



¿Qué?

• ¿Qué es un log?

• Un log es un registro de un evento que es

generado por algun proceso.

• ¿Para qué sirven?

• Descubrir utilización y actividades en los

equipos.

• Obtener métricas de uso y tendencias.
• Encontrar el origen de algun error o ataque.



¿Dónde?

• En el caso de un Linux se encuentran

usualmente en el directorio /var/log



¿Cómo?

• Archivo o grupos de archivos

• Por ejemplo:



Tipos de logs
• Severity

• Facility



RFC3164


Algunos Problemas

• Los log guardan información importante,

pero...
• ¿Quién se encarga de la revision?
• ¿Cada cuanto tiempo?

• ¿Cuantos equipos?



Revisando logs de forma

“tradicional”

• Revisando periodicamente los archivos

• Por ejemplo:

• “En linea”

X nro de logs a
revisar
X nro de equipos



Consolidación y correlación
• Consolidación:

• Reunir los mensajes de los eventos de distintos

dispositivos en un único punto.

• Correlación:

• Relacionar logs de distintos dispositivos en

busca del origen de un evento.



Centralizando logs

• El syslog permite exportar log a otro equipo

mediante mensajes UDP

Dispositivo

Colector



LogWatch

• Herramienta incluida por defecto en la

mayoria de distribuciones.

• Con la configuracion basica corre una vez al

dia y no revisa todos los logs.

0:00
11/3

11:00
11/3

0:00
12/3

4:00
12/3

8:00
12/3

Tiempo Perdido

Error en la
base de datos

Corre el
cron.daily y
manda mail



El
administrador
revisa su mail
y corrige el
error.



Solucion propuesta

• Utilizar un servidor

dedicado a
almacenar todos los
logs de la red.



Solucion propuesta
• Para mayor

seguridad este
equipo debe estar
protegido por un
firewall.



Solucion propuesta

• Los equipos deben
estar sincronizados.



Solucion propuesta

• Se pueden enviar
los logs utilizando
un tunel de SSH
para el transporte.



Solucion propuesta

• Para un manejo mas

facil de los log se
recomienda
almacenarlos en
una base de datos



Solucion propuesta

• Se pueden utilizar

interfaces web para
mostrar los log y
que su analisis sea
mas sencillo
• Por ejemplo:

• php-syslog-ng



Cosas a considerar

• No solo equipos con GNU/Linux generan logs

• Routers, switches, APs..

• Equipos con Windows pueden generar log

similares con Ntsyslog.

• Es conveniente decidir que logs se van a
almacenar dependiendo del uso de cada
equipo.



Referencias

•

• ”Linux Administration Handbook”, E. nemeth, G. Snyder, T.

R. Hein

• RFC3164 - The BSD Syslog Protocol
• Log Consolidation with syslog - Donald Pitt

http://www.giac.org/practical/gsec/Donald_Pitts_GSEC.pdf
• Administración centralizada de logs como un método de

aproximación a la recolección de evidencia digital y
detección temprana de fallos. - Andres Holguin Coral
www.acis.org.co/memorias/JornadasSeguridad/IVJNSI/AndresHolguin-IVJNSI.ppt

• Centralización de logs: Una experiencia real - Daniel

Sánchez Dorado
www.rediris.es/jt/jt2006/archivo/16Jueves/1600-1830/A/



Linux Week 2008

Gracias

Arturo Diaz Rosemberg

[email protected]