abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 21:55 | Nová verze

Byla vydána verze 0.72 populárního telnet a ssh klienta PuTTY. Podrobnosti v přehledu změn. Řešeno je také několik bezpečnostních chyb. Jejich nalezení bylo sponzorováno Evropskou komisí.

Ladislav Hagara | Komentářů: 0
19.7. 21:44 | Zajímavý článek

DataSpii Report podrobně rozebírá únik citlivých dat skrze osm rozšíření webových prohlížečů (Hover Zoom, SpeakIt!, SuperZoom, SaveFrom.net Helper, FairShare Unlock, PanelMeasurement, Branded Surveys, Panel Community Surveys) a jejich téměř okamžitý prodej.

Ladislav Hagara | Komentářů: 0
19.7. 11:44 | Zajímavý článek

Článek na Fedora Magazine rozebírá možnosti modifikace lokálních účtů Windows, například resetování hesla, pomocí Fedory nebo libovolné jiné linuxové distribuce a nástroje chntpw.

Ladislav Hagara | Komentářů: 4
19.7. 00:11 | Nová verze

Po více než dvou měsících od vydání Red Hat Enterprise Linuxu 8 byl ve verzi 8 vydán také jeho klon Oracle Linux (Wikipedie). Podrobnosti v příspěvku na blogu.

Ladislav Hagara | Komentářů: 5
18.7. 12:11 | Komunita

Na YouTube byly zveřejněny videozáznamy přednášek z konference a setkání vývojářů a uživatelů svobodných grafických softwarů Libre Graphics Meeting 2019.

Ladislav Hagara | Komentářů: 1
17.7. 20:00 | Komunita

Tým Fedory pro diverzitu a inkluzi organizuje Fedora Women’s Day (FWD) 2019. Oslavy žen přispívajících do open source projektů včetně Fedory budou probíhat po celém světě v měsících září a říjen. Návrhy akcí lze předkládat do pátku 23. srpna 2019.

Ladislav Hagara | Komentářů: 134
17.7. 19:22 | Zajímavý článek

Společnost Intezer zabývající se počítačovou bezpečností publikovala na svém blogu analýzu malwaru pojmenovaného EvilGnome, poněvadž se malware tváří jako rozšíření GNOME Shellu. Výzkumníci spojují EvilGnome s hackerskou skupinou Gamaredon.

Ladislav Hagara | Komentářů: 9
17.7. 15:00 | Nová verze

Byla vydána nová verze 19.7 open source firewallové a routovací platformy OPNsense (Wikipedie). Jedná se o fork pfSense postavený na HardenedBSD. Kódový název OPNsense 19.7 je Jazzy Jaguar. Přehled novinek v příspěvku na blogu.

Ladislav Hagara | Komentářů: 0
17.7. 11:11 | Zajímavý článek

Společnost Latacora věnující se počítačové bezpečnosti publikovala na svém blogu článek The PGP Problem poukazující na nedostatky PGP, OpenPGP a GnuPG. Článek obsahuje jak odkazy na další zajímavé články, tak i odkazy na alternativní softwarové produkty: Magic Wormhole pro přenos souborů, Tarsnap pro zálohování, Signify nebo Minisign pro podepisování balíčků, kryptografickou knihovnu libsodium nebo nástroj age pro šifrování souborů [Hacker News].

Ladislav Hagara | Komentářů: 14
16.7. 20:44 | Komunita

KDE Plasma 5 slaví 5 let. Verze 5.0 byla vydána v červenci 2014. Aktuálně poslední je verze 5.16 z června letošního roku. Připomenutí jednotlivých verzi ve videu na YouTube nebo na PeerTube.

Ladislav Hagara | Komentářů: 4
Používáte ještě 32bitový software na PC?
 (19%)
 (15%)
 (19%)
 (48%)
 (7%)
 (27%)
Celkem 150 hlasů
 Komentářů: 11, poslední 19.7. 21:05
Rozcestník

Linuxové DMZ - VIII

23. 4. 2003 | Michal Vymazal | Bezpečnost | 10177×

Analýza LOGů neboli vyhodnocování záznamů v provozních denících.

V dnešním dílu, který následuje po menší přestávce, se podíváme na vyhodnocování záznamů v provozních denících, nebo-li log souborech a představíme si několik programů, které by nám s tím měly pomoci.

Michal Vymazal

Sami asi dobře víte, že do těchto souborů ukládají veškeré unixové (a Linux samozřejmě nevyjímaje) systémy své provozní záznamy. Vlastní soubory pak nalezneme v adresáři /var/log (není to nahodilé umístění, vzpomínáte na hierarchickou strukturu adresářů?). Není jich tu zrovna málo a jejich obsah se neustále mění. To proto, že systém sem zapisuje neustále nové a nové informace. A nyní se dostáváme k "jádru pudla". Totiž, jak z této spousty informací získat určitý přehled. Jistěže existuje řada nástrojů, která nám v tomto směru dokáží vypomoci.

Tím prvním je logcheck. Tedy nástroj, který umí prohlížet vybrané log soubory, jejich obsah porovná s klíčovými záznamy ve svých parametrických souborech a "podezřelé" záznamy zapíše do hlášení, které nám odešle do pošty (asi by to šlo uložit rovnou do souboru, ale uznejte, proč si to jednoduše neposlat do schránky?).

Logcheck

Anglický popis najdete například zde (freeos.com), český popis je zde (linuxzone.cz)

Stručně řečeno: Logcheck (nověji též pod názvem Logsentry) pracuje se dvěma seznamy klíčových slov. Do prvního seznamu administrátor zařadí klíčová slova týkající se důležitých stavů, o kterých chce být informován. Druhý seznam obsahuje klíčová slova týkající se obvyklých stavů a událostí, které nevyžadují pozornost administrátora a budou potlačeny. Logcheck pak prohledá všechny zadané soubory (jejich seznam má v samostatném parametrickém souboru) a vyhledá v nich veškeré záznamy obsahující klíčová slova z prvního seznamu. Pak ještě log porovná s druhým seznamem, kde jsou zapsána klíčová slova představující "normální hlášení", která ve výstupu naopak mít nechceme. Na výstupu je pak zkrácená verze systémového logu obsahující významné události (dle administrátorem zadaných klíčových slov) a dále také ostatní události, které administrátor nezařadil mezi "obvyklé" zprávy určené k odfiltrování. Tím je zaručeno, že budou odfiltrovány pouze ty zprávy, které administrátor dopředu ohodnotil jako nevýznamné.

Vlastní logcheck se spouští periodicky (pomocí cronu) a musí si pamatovat pozici logu, na které při posledním spuštění skončil. Jak jsem již uvedl, výstupem z logcheck je zpráva v elektronické poště, která může vypadat například takto:

hostname 2003/04/10 05:02 ACTIVE SYSTEM ATTACK!
This mail is sent by logcheck. If you do not want to receive it any more, please modify the configuration files in /etc/logcheck or deinstall logcheck.

Active System Attack Alerts
=-=-=-=-=-=-=-=-=-=-=-=-=-=
[**] [1:660:2] SMTP expn root [**]
[Classification: Web Application Attack] [Priority: 1]

Possible Security Violations
=-=-=-=-=-=-=-=-=-=
Apr 9 18:04:48 xxx kernel: Packet log: input REJECT eth0 PROTO=6 211.147.3.62:21 X.X.X.X:21 L=40
S=0x00 I=12778 F=0x0000 T=111 SYN (#14)
Apr 9 21:22:41 xxx kernel: Packet log: input REJECT eth0 PROTO=6 80.52.13.137:3993 X.X.X.X:21 L=60
S=0x00 I=42943 F=0x4000 T=54 SYN (#14)

Unusual System Events
=-=-=-=-=-=-=-=-=-=-=

Zde jsou umístěny všechny záznamy, které logcheck nedokázal zařadit.

Vidíme, že zpráva je nadepsána jako "ACTIVE system ATTACK!". To proto, že obsahem zprávy je odstavec "Active System Attack Alerts" což znamená, že v některém z log souborů našel logcheck posloupnost klasifikovanou jako "violation", tedy pokus o narušení systému. V mém případě tedy narazil na shodu záznamu v log souboru s klíčem v parametrickém souboru /etc/logcheck/logcheck.violations (Debian Woody). Nyní je již na správci, aby z hlášení poznal, že se někdo pokouší o exploit zvaný "SMTP expn root" a pokouší se "sesvačit" váš poštovní server. Hlášení "Web Application Attack" je zde poněkud matoucí, neboť se jedná o upozornění na jiný útok, který se týkal webového serveru Apache.

Jsem opravdu zvědav jestli poznáte, o co se pokoušel "neposeda" podle hlášení z odstavce "Possible Security Violations". Měli byste to poznat z prvního řádku.

Pokud logcheck v žádném z prohledávaných log souborů nenarazí na shodu s klíči v souboru logcheck.violations, pak bude zpráva nadepsána nějak takto:

hostname 2003/04/01 14:02 system check

a bude obsahovat pouze sekce Possible Security Violations a Unusual System Events.

Tušíte ovšem správně, že na "hlídaném" stroji budete potřebovat nějakého poštovního démona alespoň v té nejjednodušší konfiguraci (tj. umím odeslat mail). Sice by tuto podmínku bylo možné obejít (např. přinutit logcheck, aby uložil hlášení do souboru a pak tento soubor vnutit nějakým skriptem na port 25 stroje, který poštovního démona má), ale to vidím jako zbytečnou komplikaci.

Z poněkud jiného soudku je nástroj (IPChains log analyzer) Firewaller. Velmi pěkný perlový nástroj na analýzu záznamů z paketového filtru ipchains. Umí moc hezký HTML výstup, ale "nepamatuje" si pozici logu od svého posledního spuštění. Já osobně to řeším tak, že skript firewaller.pl volám ze skriptu fwlogger, který vypadá takto:

#!/bin/sh
tail -500 /var/log/messages > /firewall/messages500
/firewall/firewaller.pl

Nebo-li "Prosil bych posledních 500 záznamů ze souboru /var/log/messages/ do souboru messages500".

Ve skriptu firewaller.pl ještě musíte provést tyto úpravy:

my $LOGFILE="/firewall/messages500";
my $OUTPUT="/firewall/firewall_log.html";

A je to. V souboru /firewall/firewall_log.html je nyní náš HTML výstup s "profiltrovanými" záznamy z paketového filtru. Jsou k tomu ovšem nutné dva předpoklady:

  1. Modul ipchains ukládá záznamy do logu /var/log/messages (neplatí u všech distribucí!).
  2. Bude vám pro výstup stačit "prosetí" posledních 500 řádků z /var/log/messages.

Kýžený HTML výstup pak vypadá nějak takto:

Firewaller log

1152x894, 266 kB

Vlastní soubor si můžete "poslat" např. perlovým skriptem SendEmail, k dostání na freshmeat.net. Nezapomeňte si však uvnitř skriptu správně nastavit časové pásmo!


Martin Pavlíček

IPTables logs analyzer

Další z programů, který můžeme použít k analýze logu je tato "grafická" utilitka s nazvem IPTables logs analyzer. Tento program pracuje pouze s jádry 2.4 a s paketovým filtrem NETFILTER/IPTABLES. S jeho pomocí můžete prohlížet veškeré zalogované pakety (přijaté, zahozené, maškarádované atd.). Vše dokáže zobrazit v krásné HTML stránce (viz. obrázek).

IPTables logs analyzer

Jak progam funguje?

Program IPTables logs analyzer se skládá se ze dvou rozdílných částí.

  1. "Database feeder" (připojení na databázi), který čte logy, jež produkuje iptables (např. /var/log/messages) a ukládá je do databáze.
  2. Webové rozhraní, které se stará o zobrazení dat uložených v databázi.

Co vše potřebujeme?

Mimo samotného programu IPTables logs analyzer ještě budeme potřebovat následující programy:

  • NETFILTER/IPTABLES
  • web server, nejčastěji asi Apache
  • PHP 4
  • databázi MySQL
  • Perl

Nic z toho by asi neměl být problém. Nyní si možná řeknete, že provozovat na firewallu všechno výše uvedené jen kvůli analyzátoru logů je šílenost. Na tohle samozřejmě tvůrci programu mysleli. Pokud nechcete vše provozovat přímo na firewallu a máte ve své síti databázový server, web server atd., můžete činnost programu "rozdělit" takto:

  • na firewallu - "database feeder"
  • na databázovém stroji - MySQL
  • na web serveru - Apache a PHP

Výhodou může být to, že na jeden databázový stroj můžete přijímat data z více firewallů, pouze je nutné aby na každém z nich byl nainstalován "database feeder".

Instalace

Samotná instalace je popsána v dokumentaci, kterou naleznete na domovské stránce programu. Stručně řeknu, že instalace se skládá z několika kroků:

  1. vytvoření databáze,
  2. případné upravení pravidel v paketovém filtru (musíte něco logovat, aby bylo co zobrazovat :-) ),
  3. nainstalování a zkonfigurování webového rozhraní
  4. instalace "database feederu".

Pokud si nejste jisti, jestli by se vám program líbil, můžete se podívat (vřele to doporučuji) na jakési "demo", na kterém si prohlédnete a vyzkoušíte jak program pracuje.

Fireparse

Další prográmek vytvořený v Perlu. Jedná se o skript, který dokáže vytvářet denní reporty o všech paketech, které byly zalogovány paketovým filtrem ipchains nebo iptables.

Tento report může být formátován jako prostý text či barevná HTML tabulka a můžete si jej nechat zasílat mailem či prohlížet přímo na v souboru na firewallu. Pro představu se můžete podívat na malou ukázku:

Fireparse

Jak můžete vidět na ukázce, report obsahuje všechny potřebné informace jako jsou např.:

  • zdrojová a cílová adresa (plus příp. doménové jméno)
  • port a protokol rozhraní
  • pravidlo paketového filtru
  • výslednou akci, kterou jsme s paketem provedli

Závěr

Tolik tedy z dnešního dílu. Doufám, že vás některý nástroj zaujme a pomůže vám při sledování logů na vašem firewallu. Pokud používáte jiný zajímavý program, tak budeme rádi, pokud se o zkušenosti podělíte v diskuzi.

Související články

Linuxové DMZ - I (Úvod do problematiky)
Linuxové DMZ - II (Zařízení v DMZ)
Linuxové DMZ - III (Modelové topologie)
Linuxové DMZ - IV (Protokoly rodiny TCP/IP)
Linuxové DMZ - V (Routery a minidistribuce LRP)
Linuxové DMZ - VI (Firewally)
Linuxové DMZ - VII (Paketové filtry)

Odkazy a zdroje


       

Hodnocení: 38 %

        špatnédobré        

Nástroje: Tisk bez diskuse

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

Komentáře

Vložit další komentář

23.4.2003 13:14 kolisko | skóre: 21 | blog: prace
Rozbalit Rozbalit vše proc nepouzit ulogd?
Misto toho lezt do souboru ve /var/log/ a pak je zpetne analyzovat a ukladat do databaze. To mi prijde trochu neohrabane. kolisko
ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.