使用 graylog3.0 收集 open××× 日志进行审计_年轻人，少吐槽，多搬砖的技术博客_51CTO 博客

> 本文由 [简悦 SimpRead](http://ksria.com/simpread/) 转码， 原文地址 [blog.51cto.com](https://blog.51cto.com/u_11555417/2410076)

公司使用开源的 open***，我们需要收集服务器上的日志作为审计。open××× 的日志保存在 / etc/open***/ 下，主要有 open***.log 和 open***-status.log 两个日志文件。

![](https://s4.51cto.com//images/blog/201906/17/4395b714552ae8141fbcd5c88e5a3f4e.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

可以查看到一些系统信息链接信息，用户信息

![](https://s4.51cto.com//images/blog/201906/17/824a1d9b2b9e52a6ed7a5ded401f04c2.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

![](https://s4.51cto.com//images/blog/201906/17/b5dfb426e8046b5ef05238b6e214cc1d.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

我们只需要审计，所以只用收集 open***-status.log 即可

收集方法是在 open*** 服务器上安装 sidcar 代理程序和 filebeate 日志收集程序，收集日志发送给 graylog。原理如下

![](https://s4.51cto.com//images/blog/201906/17/a6efe76d5ed582398abf70db81a28020.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

graylog3.0 使用 sidecar 代理程序来收集 linux 和 windows 主机日日志。下载地址为 [ https://github.com/Graylog2/collector-sidecar/releases](https://github.com/Graylog2/collector-sidecar/releases)  
centos 7 上使用 rpm 的格式。

![](https://s4.51cto.com//images/blog/201906/17/5245e5c478a2860508862f7d5b9760f3.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

或者直接安装

然后编辑配置文件 / etc/graylog/sidecar/sidecar.yml

这里首先说明，需要修改的配置文件，只需要修改 server_url 和 server_api_token，官方说明如下

![](https://s4.51cto.com//images/blog/201906/17/a3dac4ce514af8d3a5e88fb7cdb609f7.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

首先我们要创建一个 api token

![](https://s4.51cto.com//images/blog/201906/17/b5487c762e67ce92f5ca7582234d53c9.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

按照如下方式创建

![](https://s4.51cto.com//images/blog/201906/17/179e15bfd39831395b96b6746fce4933.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

然后我们把生成的 api token 写入到 sidecar.yml 配置文件中，在第 6 行

![](https://s4.51cto.com//images/blog/201906/17/9a5c60a0e3c3690126c69958ce93ea1f.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

然后修改第二行 server_url

![](https://s4.51cto.com//images/blog/201906/17/13800c185c2ad1238fdaa99163235357.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

然后修改第 22 行 node_name, 主要作为识别使用，不修改的化默认使用主机名

![](https://s4.51cto.com//images/blog/201906/17/768d312fb8fb924dfbcc48a763b45e17.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

完成配置文件修改后，安装 sidecar 作为服务器并启动

然后查看服务是否正常运行

![](https://s4.51cto.com//images/blog/201906/17/4527503b0cab2bd1a7984587249bc527.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

一切正常的话，则可以看到配置的 sidecar 已经上线

在 linux 上，graylog-sidcar 需要第三方程序作为收集器，有 filebeat 和 nxlog, 我们使用 filebeat  
地址为 https://www.elastic.co/cn/downloads/beats

![](https://s4.51cto.com//images/blog/201906/17/e4c99f9071668132a0d97f3e2ed66885.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

我采用 rpm 包方式安装

![](https://s4.51cto.com//images/blog/201906/17/b3eaa59cbdc5ef4067fbaa96bbc6bb82.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

安装完毕后，修改配置文件

24 行 修改为 true

![](https://s4.51cto.com//images/blog/201906/17/be7859383500fa2c4b243d4e360d2d7d.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

28 行，修改为 open*** 的日志路径

![](https://s4.51cto.com//images/blog/201906/17/92bfcce46b933e84534c767317e0e827.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

150 行，修改为 graylog 地址

![](https://s4.51cto.com//images/blog/201906/17/8f11c7eb48de9fc29eb2bf90a07057b1.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

完成后，启动服务

在 graylog 中，点击 configuration

![](https://s4.51cto.com//images/blog/201906/17/430f013ce7f2a103eef52917f1b13b6e.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

然后点击 create configuration

![](https://s4.51cto.com//images/blog/201906/17/c73508a004cc3025f6bc7da8f1f55c66.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

注意这几个位置的修改，然后创建  
创建完毕后，需要关联

![](https://s4.51cto.com//images/blog/201906/17/cd759325b90840d51f23e5902c00225f.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

此时 sidecar 可以收集到 open*** 的日志

然后我们新建 input 进行日志分析

![](https://s4.51cto.com//images/blog/201906/17/7157cac3b67569bf0ac022a889736d5c.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

然后按照如下配置

![](https://s4.51cto.com//images/blog/201906/17/01ad96d6641aec8ad1d7febcc147878b.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

然后我们就可以进行分析了，比如搜索用户 lizhenghua

![](https://s4.51cto.com//images/blog/201906/17/4937c5b4ff1c0db3f3c08a00808b4081.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

这样就基本上可以满足审计需求