Construindo um Log Server utilizando Linux, Unix e Windows
Neste artigo são apresentadas as ferramentas e as formas para se construir e gerenciar - de forma fácil e rápida - um logserver remoto para uma rede de computadores heterogênea.
Parte 5: Utilizando o swatch
4 - Utilizando o swatch
"O primeiro passo para utilizar o swatch é saber o que se quer saber sobre os acontecimentos registrados pelos logs. O segundo passo é definir quais logs contém tais informações. O terceiro é determinar quais gatilhos definem informações críticas" - Lance Spitzner
Assim, tendo as informações geradas pelo log server em uma máquina segura, basta apenas sabermos quais informações serão analisadas e como iremos identificá-las.
A configuração a seguir reflete a busca por indícios de tentativas falhas de acesso de root e usuários comuns nos sistemas Linux/Unix da rede na qual está o log server.
# Arquivo swatchrc
#
# swatch -c /etc/swatchrc -t
# /var/log/messages
#
### Bad login attempts
watchfor /failed/
echo bold
mail addressess=root,subject=Failed Authentication
watchfor /su:/
echo bold
mail addresses=root,subject=Someone sued to root access
### Ignore this stuff
ignore /sendmail/,/nntp/,/xntp|ntpd/,/faxspooler/
#
# swatch -c /etc/swatchrc -t
# /var/log/messages
#
### Bad login attempts
watchfor /failed/
echo bold
mail addressess=root,subject=Failed Authentication
watchfor /su:/
echo bold
mail addresses=root,subject=Someone sued to root access
### Ignore this stuff
ignore /sendmail/,/nntp/,/xntp|ntpd/,/faxspooler/
A entrada watchfor indica o padrão a ser procurado nos logs a serem auditados. As
entradas entre barras "/" definem estes padrões. Portanto,
watchfor /failed/
faz com que quaisquer ocorrências de "failed" encontradas nos logs disparem uma determinada ação. Esta ação pode ser definida pelo sysadmin, e pode ser, por exemplo, o envio de um e-mail.
mail addresses=root,subject=Someone sued to root access
A entrada ignore indica quais entradas de logs devem ser desprezadas pelo swatch. Portanto, as entradas definidas em:
ignore /sendmail/,/nntp/,/xntp|ntpd/,/faxspooler/
não serão consideradas pelo swatch.
Desta forma, os registros observados pelo syslogd, syslog-ng e NTSyslog serão armazenados no log server e analisados pelo swatch. Caso alguma entrada definida no arquivo swatchrc seja encontrada nos logs, as ações tomadas pelo sistema alertarão o administrador do sistema sobre a sua ocorrência.
watchfor /failed/
faz com que quaisquer ocorrências de "failed" encontradas nos logs disparem uma determinada ação. Esta ação pode ser definida pelo sysadmin, e pode ser, por exemplo, o envio de um e-mail.
mail addresses=root,subject=Someone sued to root access
A entrada ignore indica quais entradas de logs devem ser desprezadas pelo swatch. Portanto, as entradas definidas em:
ignore /sendmail/,/nntp/,/xntp|ntpd/,/faxspooler/
não serão consideradas pelo swatch.
Desta forma, os registros observados pelo syslogd, syslog-ng e NTSyslog serão armazenados no log server e analisados pelo swatch. Caso alguma entrada definida no arquivo swatchrc seja encontrada nos logs, as ações tomadas pelo sistema alertarão o administrador do sistema sobre a sua ocorrência.