Configurer Graylog pour recevoir les logs Linux et monitorer vos serveurs efficacement.
Présentation
Dans ce tutoriel, nous allons apprendre à configurer une machine Linux pour qu’elle envoie ses journaux (logs) vers un serveur Graylog. Pour cela, on va procéder à l’installation et à la configuration de Rsyslog sur le système.
Configurer Graylog pour recevoir les logs Linux
Nous allons commencer par la configuration de Graylog. Il y a trois étapes à accomplir :
Créer un Input pour Syslog
Connectez-vous à l’interface de Graylog, cliquez sur “System” dans le menu puis sur “Inputs”. Dans la liste déroulante, sélectionnez “Syslog UDP” puis cliquez sur le bouton intitulé “Launch new input”. Un assistant va s’afficher à l’écran. Commencez par donner un nom à cet Input, par exemple “Graylog_UDP_Rsyslog_Linux” et choisissez un port. Par défaut, le port est “514” mais vous pouvez le personnaliser. Vous pouvez aussi cocher l’option “Store full message” pour que le message de log complet soit stocké dans Graylog. Le nouvel Input a été créé et il est désormais actif.
Créer un nouvel Index Linux
Nous devons créer un Index dans Graylog pour stocker les journaux des machines Linux. À partir de Graylog, cliquez sur “System” dans le menu puis sur “Indices”. Nommez cet index, par exemple “Linux Index”, ajoutez une description et un préfixe, avant de valider. Désormais, nous devons créer un nouveau stream pour router les messages vers cet index.
Créer un Stream
Pour créer un nouveau Stream, cliquez sur “Streams” dans le menu principal de Graylog. Ensuite, cliquez sur le bouton “Create stream” situé sur la droite. Dans la fenêtre qui apparaît, nommez le stream, par exemple “Linux Stream” et choisissez l’index “Linux Index” pour le champ nommé “Index Set”. Ensuite, ajoutez une nouvelle règle de routage des messages en choisissant le type “match input” et en sélectionnant l’Input Rsyslog en UDP créé précédemment. Votre nouveau Stream doit être sur l’état “Running”.
Installer et configurer Rsyslog sur Linux
Connectez-vous à la machine Linux, en local ou à distance, et installez le paquet Rsyslog en mettant à jour le cache des paquets avec les commandes adéquates. Ensuite, configurez Rsyslog en modifiant le fichier de configuration principal et en créant un fichier complémentaire pour envoyer les logs Syslog vers Graylog. Redémarrez Rsyslog pour appliquer les changements.
Afficher les journaux Linux dans Graylog
À partir de Graylog, vous pouvez afficher les messages associés à un Stream spécifique en cliquant sur “Streams” ou en lançant une recherche. Utilisez les filtres de recherche pour afficher uniquement les messages souhaités et pouvoir les analyser.
Identifier un échec de connexion SSH
Graylog permet d’indexer les journaux et de faire des recherches avancées. Vous pouvez identifier les échecs de connexion SSH en utilisant des filtres de recherche spécifiques. Les résultats affichent les logs correspondants aux critères définis.
Conclusion
En suivant ce tutoriel, vous serez en mesure de configurer une machine Linux pour qu’elle envoie ses logs sur un serveur Graylog. Vous pourrez centraliser les journaux de vos hôtes Linux dans votre puits de logs ! Pour aller plus loin, envisagez de créer des tableaux de bords et des alertes pour recevoir une notification lorsqu’une anomalie est détectée.
Source : www.it-connect.fr
