Procedura importu logów z urządzenia NETASQ/Stormshield do narzędzia Log Appliance
Aby zaimportować logi z urządzenia do Log Appliance i na ich podstawie wygenerować raporty należy:
1. Zalogować się do Log Appliance (LA) na konto root:
sudo su
2. Utworzyć folder /import:
mkdir /import
3. Skopiować pliki logów z urządzenia do folderu /import. Pliki na urządzeniu znajdują się w folderze /log/ i mają nazwy zaczynające się od l_nazwamodułu i zawierają datę pierwszego i ostatniego wpisu logu oraz liczbę linii logu. Na przykład plik o nazwie l_web_00003011_20150501095216_20150502064951_09669 zawiera logi z modułu filtrowania www, które zostały zebrane pomiędzy 1 maja 2015 godzina 9:52 a 2 maja 2015 godzina 6:49 i zawiera 9669 rekordów.
4. Po skopiowaniu plików należy edytować plik /etc/logstash/conf.d/stormshield.conf i dodać w nim wpis:
input { tcp { host => "127.0.0.1" port => 6000 type => "sns" } }
5. Należy wykonać restart usługi za pomocą komendy:
service logstash restart
6. Następnie należy utworzyć plik import.pl Plik można utworzyć w folderze domowym użytkownika root za pomocą komendy:
touch import.pl
7. Plikowi należy zadać atrybut wykonywalności za pomocą komendy:
chmod 777 import.pl
8. Następnie należy edytować plik za pomocą edytora tekstu (np. vi lub nano) i skopiować do niego następującą zawartość:
#!/usr/bin/perl # send l_* files to logstash use strict; use IO::Socket::INET; die "Usage : $0 files...nn" if(@ARGV<2); my $socket = IO::Socket::INET->new(PeerAddr => '127.0.0.1', PeerPort => 6000, Proto => 'tcp') or die "Can't connect to 127.0.0.1:6000$!n"; my $c=1; my $ts_start = time()-1; my $lines = 0; foreach my $file (@ARGV) { $file =~ /l_([a-z]+).*/; my $logtype = $1; print "$file logtype: $logtype ($c/".(scalar @ARGV).")n"; $c++; open IN,"<$file" or die "Can't read $file: $!n"; while(my $message = ) { $message =~ s/(s*)$//; print $socket $message." logtype=$logtypen"; $lines++; } close IN; my $rate = $lines / (time() - $ts_start); print "tRate : ".sprintf("%.1f",$rate)." lines / s n"; }
9. Skrypt uruchamiamy za pomocą komendy:
./import.pl /import/*
10. Po zakończeniu importu logów do LA należy skasować zawartość folderu /import w celu zwolnienia przestrzeni na dysku.