162 lines
10 KiB
Markdown
162 lines
10 KiB
Markdown
# Домашнее задание 25
|
||
|
||
## Основы сбора и хранения логов
|
||
|
||
Для выполнение задания используется vagrant box Ubuntu 22.04
|
||
|
||
### Создание Vagrantfile
|
||
|
||
Зададим следующие характеристики для 2 VM
|
||
|
||
- CPU - 1
|
||
- Memory - 512mb
|
||
|
||
Создаем 2 VM, на VM **nginx** будет установлен серевер nginx, на VM **log-server** будем собирать слоги с сервера **nginx**
|
||
|
||
Готовый [Vagrantfile](Vagrantfile)
|
||
|
||
### Cоздание ansible.yml
|
||
|
||
Сценарий для Ansible будет выполнять следующие действия:
|
||
|
||
На хосте **nginx**:
|
||
1. Установка nginx, auditd и audispd-plugins
|
||
2. Настройка access_log для nginx, все логи мы отправляем на **log-server**
|
||
3. Настройка error_log для nginx, все логи мы отправляем на **log-server** и сохраняем локально
|
||
4. Настройка аудита файлов конфигурации nginx
|
||
5. Настройка отправки логов аудита на **log-server**
|
||
|
||
|
||
На VM **log-server**:
|
||
1. Настраиваем rsyslog на прием логов по TCP и UDP с удаленных хостов
|
||
2. Настраиваем rsyslog, что бы складывал логи с удаленных хостов в каталог /var/log/rsyslog/
|
||
3. Так как при отправки логов из auditd в **log-server** не корректно определятеся переменная $programname, делаем небольшую проверку
|
||
|
||
Готовый [ansible.yml](ansible.yml)
|
||
|
||
|
||
### Проверка
|
||
|
||
Запускаем vagrant
|
||
```bash
|
||
alex@ubuntu-pc:~/Документы/25$ vagrant up
|
||
Bringing machine 'nginx' up with 'virtualbox' provider...
|
||
Bringing machine 'log-server' up with 'virtualbox' provider...
|
||
==> nginx: Importing base box 'ubuntu/jammy64'...
|
||
==> nginx: Matching MAC address for NAT networking...
|
||
==> nginx: Checking if box 'ubuntu/jammy64' version '20241002.0.0' is up to date...
|
||
==> nginx: Setting the name of the VM: 25_nginx_1772380320937_95674
|
||
==> nginx: Clearing any previously set network interfaces...
|
||
==> nginx: Preparing network interfaces based on configuration...
|
||
nginx: Adapter 1: nat
|
||
nginx: Adapter 2: intnet
|
||
==> nginx: Forwarding ports...
|
||
...
|
||
|
||
...
|
||
=> log-server: Mounting shared folders...
|
||
log-server: /home/alex/Документы/25 => /vagrant
|
||
==> log-server: Running provisioner: ansible...
|
||
log-server: Running ansible-playbook...
|
||
|
||
PLAY [log-server] **************************************************************
|
||
|
||
TASK [Gathering Facts] *********************************************************
|
||
ok: [log-server]
|
||
|
||
TASK [enable UDP remote suslog] ************************************************
|
||
changed: [log-server]
|
||
|
||
TASK [enable UDP remote suslog port] *******************************************
|
||
changed: [log-server]
|
||
|
||
TASK [enable TCP remote suslog] ************************************************
|
||
changed: [log-server]
|
||
|
||
TASK [enable TCP remote suslog port] *******************************************
|
||
changed: [log-server]
|
||
|
||
TASK [conf remote suslog] ******************************************************
|
||
changed: [log-server]
|
||
|
||
RUNNING HANDLER [restart syslog] ***********************************************
|
||
changed: [log-server]
|
||
|
||
PLAY [nginx] *******************************************************************
|
||
skipping: no hosts matched
|
||
|
||
PLAY RECAP *********************************************************************
|
||
log-server : ok=7 changed=6 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
|
||
|
||
```
|
||
|
||
|
||
Теперь требуется набрать немного логов для проверки.
|
||
|
||
1. На локальном хосте откроем несколько раз URL http://127.0.0.1:8080/
|
||
|
||
|
||
2. Для того, что бы появились ошибки, поправим права доступа к файлу index.nginx-debian.html на VM **nginx**.
|
||
```bash
|
||
vagrant@nginx:~$ sudo chmod 600 /var/www/html/index.nginx-debian.html
|
||
```
|
||
Еще раз на локальном хосте откроем несколько раз URL http://127.0.0.1:8080/
|
||
|
||
3. Отредаетируем файл конфигурации nginx на сервере **nginx** добавив в конец файла закомментированный текст
|
||
```bash
|
||
vagrant@nginx:~$ sudo sh -c 'echo "#test audit" >> /etc/nginx/nginx.conf'
|
||
```
|
||
|
||
Подключаемся по ssh к VM **log-server**, и смотрим какие логи у нас создались
|
||
```bash
|
||
vagrant@log-server:~$ ll /var/log/rsyslog/192.168.80.20/
|
||
total 44
|
||
drwxr-xr-x 2 syslog syslog 4096 Mar 1 16:04 ./
|
||
drwxr-xr-x 4 syslog syslog 4096 Mar 1 15:56 ../
|
||
-rw-r----- 1 syslog adm 27238 Mar 1 16:10 audit.log
|
||
-rw-r----- 1 syslog adm 1953 Mar 1 16:04 nginx_access.log
|
||
-rw-r----- 1 syslog adm 235 Mar 1 16:04 nginx_error.log
|
||
```
|
||
|
||
Видим, что audit.log, nginx_access.log и nginx_error.log создались. Посмотрим их содержимое.
|
||
|
||
**audit.log**
|
||
```bash
|
||
vagrant@log-server:~$ sudo tail /var/log/rsyslog/192.168.80.20/audit.log
|
||
Mar 1 16:10:08 192.168.80.20 type=USER_CMD msg=audit(1772381408.949:181): pid=3875 uid=1000 auid=1000 ses=6 subj=unconfined msg='cwd="/home/vagrant" cmd=7368202D63206563686F2022237465737420617564697422203E3E202F6574632F6E67696E782F6E67696E782E636F6E66 exe="/usr/bin/sudo" terminal=pts/0 res=success'#035UID="vagrant" AUID="vagrant"
|
||
Mar 1 16:10:08 192.168.80.20 type=CRED_REFR msg=audit(1772381408.949:182): pid=3875 uid=1000 auid=1000 ses=6 subj=unconfined msg='op=PAM:setcred grantors=pam_permit,pam_cap acct="root" exe="/usr/bin/sudo" hostname=? addr=? terminal=/dev/pts/0 res=success'#035UID="vagrant" AUID="vagrant"
|
||
Mar 1 16:10:08 192.168.80.20 type=USER_START msg=audit(1772381408.949:183): pid=3875 uid=1000 auid=1000 ses=6 subj=unconfined msg='op=PAM:session_open grantors=pam_limits,pam_env,pam_env,pam_permit,pam_umask,pam_unix acct="root" exe="/usr/bin/sudo" hostname=? addr=? terminal=/dev/pts/0 res=success'#035UID="vagrant" AUID="vagrant"
|
||
Mar 1 16:10:08 192.168.80.20 type=SYSCALL msg=audit(1772381408.949:184): arch=c000003e syscall=257 success=yes exit=3 a0=ffffff9c a1=55b416e6c7c8 a2=441 a3=1b6 items=2 ppid=3876 pid=3877 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts1 ses=6 comm="sh" exe="/usr/bin/dash" subj=unconfined key="nginx_config"#035ARCH=x86_64 SYSCALL=openat AUID="vagrant" UID="root" GID="root" EUID="root" SUID="root" FSUID="root" EGID="root" SGID="root" FSGID="root"
|
||
Mar 1 16:10:08 192.168.80.20 type=CWD msg=audit(1772381408.949:184): cwd="/home/vagrant"
|
||
Mar 1 16:10:08 192.168.80.20 type=PATH msg=audit(1772381408.949:184): item=0 name="/etc/nginx/" inode=256286 dev=08:01 mode=040755 ouid=0 ogid=0 rdev=00:00 nametype=PARENT cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0#035OUID="root" OGID="root"
|
||
Mar 1 16:10:08 192.168.80.20 type=PATH msg=audit(1772381408.949:184): item=1 name="/etc/nginx/nginx.conf" inode=256295 dev=08:01 mode=0100644 ouid=0 ogid=0 rdev=00:00 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0#035OUID="root" OGID="root"
|
||
Mar 1 16:10:08 192.168.80.20 type=PROCTITLE msg=audit(1772381408.949:184): proctitle=7368002D63006563686F2022237465737420617564697422203E3E202F6574632F6E67696E782F6E67696E782E636F6E66
|
||
Mar 1 16:10:08 192.168.80.20 type=USER_END msg=audit(1772381408.953:185): pid=3875 uid=1000 auid=1000 ses=6 subj=unconfined msg='op=PAM:session_close grantors=pam_limits,pam_env,pam_env,pam_permit,pam_umask,pam_unix acct="root" exe="/usr/bin/sudo" hostname=? addr=? terminal=/dev/pts/0 res=success'#035UID="vagrant" AUID="vagrant"
|
||
Mar 1 16:10:08 192.168.80.20 type=CRED_DISP msg=audit(1772381408.953:186): pid=3875 uid=1000 auid=1000 ses=6 subj=unconfined msg='op=PAM:setcred grantors=pam_permit acct="root" exe="/usr/bin/sudo" hostname=? addr=? terminal=/dev/pts/0 res=success'#035UID="vagrant" AUID="vagrant"
|
||
```
|
||
|
||
**nginx_access.log**
|
||
```bash
|
||
vagrant@log-server:~$ sudo tail /var/log/rsyslog/192.168.80.20/nginx_access.log
|
||
Mar 1 15:57:10 nginx nginx_access: 10.0.2.2 - - [01/Mar/2026:15:57:10 +0000] "GET /index.html&qwd HTTP/1.1" 404 134 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:148.0) Gecko/20100101 Firefox/148.0"
|
||
Mar 1 15:57:16 nginx nginx_access: 10.0.2.2 - - [01/Mar/2026:15:57:16 +0000] "GET / HTTP/1.1" 200 396 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:148.0) Gecko/20100101 Firefox/148.0"
|
||
Mar 1 15:57:21 nginx nginx_access: 10.0.2.2 - - [01/Mar/2026:15:57:21 +0000] "GET /&qwdq HTTP/1.1" 404 134 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:148.0) Gecko/20100101 Firefox/148.0"
|
||
Mar 1 15:57:25 nginx nginx_access: 10.0.2.2 - - [01/Mar/2026:15:57:25 +0000] "GET /&qwdq=1 HTTP/1.1" 404 134 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:148.0) Gecko/20100101 Firefox/148.0"
|
||
Mar 1 15:57:30 nginx nginx_access: 10.0.2.2 - - [01/Mar/2026:15:57:30 +0000] "GET /qq,&qwdq=1 HTTP/1.1" 404 134 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:148.0) Gecko/20100101 Firefox/148.0"
|
||
Mar 1 15:59:09 nginx nginx_access: 10.0.2.2 - - [01/Mar/2026:15:59:09 +0000] "GET /secret/ HTTP/1.1" 404 134 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:148.0) Gecko/20100101 Firefox/148.0"
|
||
Mar 1 15:59:25 nginx nginx_access: 10.0.2.2 - - [01/Mar/2026:15:59:25 +0000] "GET /protected_file.txt HTTP/1.1" 404 134 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:148.0) Gecko/20100101 Firefox/148.0"
|
||
Mar 1 15:59:36 nginx nginx_access: 10.0.2.2 - - [01/Mar/2026:15:59:36 +0000] "GET /logs/error.log HTTP/1.1" 404 134 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:148.0) Gecko/20100101 Firefox/148.0"
|
||
Mar 1 16:00:41 nginx nginx_access: 10.0.2.2 - - [01/Mar/2026:16:00:41 +0000] "GET / HTTP/1.1" 304 0 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:148.0) Gecko/20100101 Firefox/148.0"
|
||
Mar 1 16:04:08 nginx nginx_access: 10.0.2.2 - - [01/Mar/2026:16:04:08 +0000] "GET / HTTP/1.1" 403 134 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:148.0) Gecko/20100101 Firefox/148.0"
|
||
```
|
||
|
||
**nginx_error.log**
|
||
```bash
|
||
vagrant@log-server:~$ sudo tail /var/log/rsyslog/192.168.80.20/nginx_error.log
|
||
Mar 1 16:04:08 nginx nginx_error: 2026/03/01 16:04:08 [error] 3622#3622: *3 open() "/var/www/html/index.nginx-debian.html" failed (13: Permission denied), client: 10.0.2.2, server: _, request: "GET / HTTP/1.1", host: "127.0.0.1:8080"
|
||
```
|
||
|
||
|
||
Видим, что все логи присутствуют на лог сервере. Задание выполнено!
|
||
|