Filtreleme Düğümü Günlükleriyle Çalışma¶

Bu makale, bir Wallarm filtreleme düğümünün günlük dosyalarını nasıl bulacağınız konusunda yol gösterir.

Günlük dosyaları /opt/wallarm/var/log/wallarm dizininde bulunur. Karşılaşacağınız günlük dosyalarının dökümü ve her birinin içerdiği bilgi türü aşağıdadır:

• api-firewall-out.log: API specification enforcement günlüğü.

• appstructure-out.log (yalnızca Docker konteynerlerinde): API Discovery modülü etkinliği günlüğü.

• wstore-out.log (NGINX Node 5.x ve daha eski sürümlerde tarantool-out.log): postanalytics modülünün işlemlerinin günlüğü.

• wcli-out.log: çoğu Wallarm servisinin günlükleri; kaba kuvvet tespiti, saldırıların Cloud’a aktarımı ve düğümün Cloud ile senkronizasyon durumu vb. dahil.

• supervisord-out.log: servis başlatmaları, durum değişiklikleri ve uyarılar dahil olmak üzere Supervisor süreç yönetimi günlükleri.

• go-node.log: Native Node günlükleri.

NGINX‑Tabanlı Filtreleme Düğümü için Genişletilmiş Günlüklemeyi Yapılandırma¶

NGINX, işlenen isteklerin günlüklerini (erişim günlükleri) varsayılan olarak önceden tanımlı combined günlük biçimini kullanarak ayrı bir günlük dosyasına yazar.

log_format combined '$remote_addr - $remote_user [$time_local] '
                    '"$request" $request_id $status $body_bytes_sent '
                    '"$http_referer" "$http_user_agent" ';

Gerekirse diğer NGINX değişkenleriyle birlikte bir veya birkaç filtre düğümü değişkeni ekleyerek özel bir günlük biçimi tanımlayıp kullanabilirsiniz. NGINX günlük dosyası, filtre düğümünün çok daha hızlı teşhis edilmesine olanak tanır.

Filtre Düğümü Değişkenleri¶

NGINX günlük biçimini tanımlarken aşağıdaki filtre düğümü değişkenlerini kullanabilirsiniz:

Yapılandırma Örneği¶

Aşağıdaki değişkenleri içeren wallarm_combined adlı genişletilmiş günlükleme biçimini belirtmeniz gerektiğini varsayalım:

• combined biçiminde kullanılan tüm değişkenler

• tüm filtre düğümü değişkenleri

Bunu yapmak için aşağıdaki adımları uygulayın:

1. Aşağıdaki satırlar istenen günlükleme biçimini tanımlar. Bunları NGINX yapılandırma dosyasının http bloğuna ekleyin.

   log_format wallarm_combined '$remote_addr - $remote_user [$time_local] '
                               '"$request" $request_id $status $body_bytes_sent '
                               '"$http_referer" "$http_user_agent" '
                               '$wallarm_request_cpu_time $wallarm_request_mono_time $wallarm_serialized_size $wallarm_is_input_valid $wallarm_attack_type $wallarm_attack_type_list $wallarm_attack_point_list $wallarm_attack_stamp_list';
   

2. Aynı bloğa aşağıdaki yönergeyi ekleyerek genişletilmiş günlükleme biçimini etkinleştirin:

   access_log /var/log/nginx/access.log wallarm_combined;

   İşlenen istek günlükleri /var/log/nginx/access.log dosyasına wallarm_combined biçiminde yazılacaktır.

   Koşullu Günlükleme

   Yukarıda listelenen yönerge ile, bir saldırıyla ilişkili olmayanlar da dahil olmak üzere tüm işlenen istekler bir günlük dosyasına yazılır.

   Yalnızca bir saldırının parçası olan istekler için günlük yazmak üzere koşullu günlüklemeyi yapılandırabilirsiniz (bu isteklerde wallarm_attack_type değişkeninin değeri sıfır değildir). Bunu yapmak için, anılan yönergeye bir koşul ekleyin: access_log /var/log/nginx/access.log wallarm_combined if=$wallarm_attack_type;

   Bu, günlük dosyası boyutunu küçültmek veya bir filtre düğümünü SIEM çözümleri ile entegre ediyorsanız faydalı olabilir.

3. Kullandığınız işletim sistemine bağlı olarak aşağıdaki komutlardan birini çalıştırarak NGINX’i yeniden başlatın:

   DebianUbuntuCentOS or Amazon Linux 2.0.2021x and lowerAlmaLinux, Rocky Linux or Oracle Linux 8.xRHEL 8.x

   sudo systemctl restart nginx
   

   sudo service nginx restart
   

   sudo systemctl restart nginx
   

   sudo systemctl restart nginx
   

   sudo systemctl restart nginx
   

Was this page helpful?

How can we improve this article? (Optional)

Information is unclear or confusing

Insufficient information

Outdated or incorrect information

0/240

Send