bonjour à tous C'est Florient d' Connect
bienvenue dans cette troisème vidéo
dédiée à grog et aujourd'hui nous allons
voir comment envoyer les logs d'une
machine Linux dans grelog grâce à
l'installation du paquet R6 log mais
avant cela nous allons voir déjà comment
configurer grog de manière à ce qu'il
puisse recevoir les logs de notre
machine Linux voir même des machines
Linux de manière générale je vous
rappelle également que j'ai déjà mis en
ligne une vidéo d'installation de grelog
ainsi qu'une vidéo pour envoyer les logs
de Windows Server vers grelog donc je
vous invite à les regarder si vous
prenez cette série en cours de route
alors avant de regarder la suite je vous
invite aussi à vous abonner à la chaîne
Youtube h Connect je viens de me
connecter sur mon serveur grelog donc ce
que je vais commencer par faire déjà
c'est créer un nouvel input donc à
partir du menu système euh et ensuite
input et là euh donc là ce qu'on va
faire c'est choisir dans la liste
l'input qui s'appelle syis log UDP on
voit qu'on a 6 log TCP mais pour passer
en TCP il faut utiliser un certificat
TLS euh nous on va se contenter de l'UDP
pour cette fois-ci donc on va faire
launch new input comme ceci euh ensuite
à cet endroit-l on va déjà donner un nom
voilà un exemple de nom vous pouvez
donner bind adresse bah c'est l'adresse
sur laquelle on va écouter pour être
prêt à recevoir les logs en question
donc on peut laisser bah ce c'est B une
adresse par défaut donc là on va écouter
sur toutes les interfaces au niveau du
port on est par défaut sur 514 on
pourrait le changer par exemple en 12
514 pour ne pas utiliser le port par
défaut on va ensuite avoir d'autres
options ce qu'on pourrait Coch c'est
cette option là pour stocker
l'intégralité des messages de log euh
voilà et donc une fois qu'on a fait ça
on a on va créer l'input donc il
apparaît bien ici à la suite de notre
input lié à Windows on voit que les deux
sont actifs il y en a un donc qui ne
reçoit aucun message celui-là il est
capable de recevoir envoie deux messages
par seconde puisquil y a déjà des
machines qui sont configurées pour
envoyer des messages dessus ensuite nous
allons devoir créer un index dans gréog
de façon à stocker les journaux des
machines Linux donc on va cliquer sur le
menu ici on va aller dans indice ici et
là ce qu'on va faire c'est créer un
index 7 si on va prendre donc le bouton
qui est en haut à droite donc là on a la
possibilité d'utiliser un template par
défaut donc on va pouvoir nous tout
simplement partir sur l'index 30 days
par exemple voilà et on va appliquer le
modèle voilà une fois qu'on arrive
là-dessus ben on va donner un nom par
exemple Linux index on pourra mettre une
description voilà index pour les
journaux linux par exemple on va venir
préciser un préfixe donc on peut mettre
un
linux index faut savoir que cet index ça
pourra servir pour plusieurs machines
Linux pas forcément pour une seule et on
pourrait aussi créer des indexes pour
des cas d'usage spécifiques typiquement
avoir un index qui sert à stocker tous
les message relatif au SSH ou au service
Web là on va vraiment créer pour
l'instant un index global pour tout ce
qui concerne Linux donc là on va
descendre jusqu'en bas voilà on va
ensuite donc du coup créer ce nouvel
index alors là il me demande
obligatoirement une description je mets
une description et je valide voilà donc
là j'ai un nouvel index qui a été créé
au côté des index par défaut ce qu'il va
falloir faire maintenant et bien c'est
créer un nouveau stream donc là on va
aller dans la partie stream en haut et
on va faire create stream là bah va
falloir encore une fois remplir les les
informations on mettre Linux stream la
description cette fois-ci qui est bien
optionnel et donc et bien quel est
l'index qu'on va définir par rapport à
ça et bien c'est le Linux index ensuite
on va faire create stream là on va aller
sur le bouton mort et on va donc choisir
manage ru pour gérer les règles parce
que dans notre idée ici ça va être du
coup d'ajouter une nouvelle règle pour
router nos messages au niveau du type et
bien on va prendre match input voilà on
va sélectionner notre input Linux de
façon à à router en fait les message de
notre input Linux via euh dans notre
stream et ça finira dans notre index
voilà une fois qu'on a fait ça on va
créer la règle on va valider la création
du stream donc on a bien ici du coup un
résumé de ce qui est prévu au niveau des
règles donc on va valider comme ceci là
on va mettre le stream on va le mettre
en running donc on va cliquer dessus
voilà donc là on a tous nos tous nos
streams qui sont actifs donc désormais
quelle va être la prochaine étape bah
tout simplement ça va être de basculer
sur la machine Linux pour installer et
configurer R6 log je me suis connecté
sur une machine Linux en l'occurrence
sous des bien donc nous allons commencer
par mettre à jour le cach des paquets
puis installer le paquet R6 log à l'aide
de la commande sudo aptg install R6 log
donc c'est vraiment le paquet qui est
nécessaire au bon fonctionnement de
cette procédure on va dire ensuite on va
avoir le fichier de configuration donc
etc donc/etc R6
log.conf voilà donc ça c'est le fichier
de configuration global nous ce qu'on va
venir faire c'est voir ici que dans le
dossier rcstock.d on va venir créer un
nouveau fichier qu'on va appeler
10-grog.com voilà on va faire rentrer
dans ce fichier on va venir ajouter une
seule ligne on va ajouter donc cette
ligne là avec vous respectez bien cette
syntaxe ça va permettre d'envoyer les
logs de Linux à grog donc ici vous devez
remplacer du coup l'adresse IP de votre
gralog ici éventuellement le port si
vous avez mis autre chose le fait de
mettre étoile point étoile permet de
spécifier qu'on va envoyer tous les logs
le fait de mettre un arobas permet de
spécifier cont travaille en UDP pour
envoyer les logs si vous mettez 2 @as ça
veut dire que vous passez en mode TCP
donc il faut vraiment respecter cette
syntaxe là ensuite vous enregistrez le
fichier vous redémarrez euh et bien le
service R6 log de cette façon voilà vous
validez et à partir de là votre machine
Linux devrait commencer à envoyer des
logs sur grog donc sans plus attendre on
va basculer sur grlog ici nous
retrouvons bien notre liste de stream on
va cliquer sur le Linux stream ici et ça
va n permettre de voir ici directement
les logs qui sont associés à ce stream
donc là du coup on voit qu'il a été
sélectionné ici dans ha en haut dans gr
log donc si vous partez et bien de
l'interface de recherche vide vous
pouvez tout simplement le spécifier ici
et là on voit déjà que j'ai commencé à
recevoir des journaux de la machine SRV
dhp2 donc c'est comme ça que s'appelle
la machine sur laquelle j'ai configuré
R6 log donc du coup ce qu'on va pouvoir
faire pour s'amuser là un petit peu plus
loin parce que là du coup on pourrait
faire les filtres ici directement comme
on l'a fait pour Windows et bien c'est
tenté une tentative de connexion SSH on
va dire malveillante sur cette machine
Linux pour voir si on arrive à remonter
ça dans grog et détecter les connexions
ssh infructueuses coup ma machine Linux
elle a une adresse IP euh donc en donc
14.230 donc ce que je vais faire c'est
tout simplement un SSH je vais mettre
par exemple admin je mets n'importe quoi
en nom d'utilisateur @obas l'adresse IP
on va considérer que c'est sur le port
22 par défaut voilà la connexion monte
bien donc je fais yes et là ce que je
vais faire bah c'est des identifiants
enfin un mot de passe en tout cas
aléatoire qui n'est pas le bon donc ça
va forcément générer des erreurs de
connexion côté Linux lui Linux il va
loguer ça par défaut contrairement à
Windows donc voilà donc là j'ai le
service SSH qui a clôturé la session à
au bout d'un certain nombre de de faux
enfin de mot de passe incorrect disons
donc maintenant comment ça va se
matérialiser ça du côté et bien degré
log bah déjà ce qu'on va commencer par
faire c'est activer le refresh
automatique ici des logs pour pour voir
et bien les derniers logs arrivés dans
la console voilà donc on voit qu'il y a
eu des nouveaux logs qui sont bien
arrivés on voit ici d'ailleurs fail
password for invalid user admin donc
depuis l'adresse IP donc là c'est bien
ma machine locale et si je clique dessus
bien je voisà qu'il y a eu un une
tentative de connexion SSH en erreur sur
ce serveur là alors comment on pourrait
dans tout cet
de log Linux et bien filtrer que ces
messagees là bien c'est on va ça va
venir se jouer directement ici au niveau
de la zone de recherche en l'occurrence
voici le fil qui va m'intéresser donc on
va aller chercher dans le message euh
c'est-à-dire le champ message qui est
ici on va aller chercher le le mot-clé
fail password
et bien on va s'intéresser uniquement à
l'application sshd donc qui correspond
du coup aux connexions ssh donc on a
bien ici les informations he comme on
voit application name sshd et on va
simplement lancer une recherche là ça me
permet de voir sur l'intégralité de mes
machines qui envoie qui sont référencés
dans le Linux stream et bien celles qui
ont ce type de message donc là j'ai 15
serveur pour l'instant donc forcément
j'ai que les échecs de ce serveur là on
voit qu'il y en a deux ici un autre ici
je peux avoir une vue globale donc bien
sûr on va pouvoir venir affiner ce
filtre pour préciser un nom d'autre
particulier et donc dans ce cas-là on va
avoir une troisième condition derrière
donc on aura un un end supplémentaire la
source et donc le nom de la machine donc
là c'est pas ça parce que c'était sur un
autre exemple donc on va faire comme
ceci voilà donc
srv-dhp- 2 je vous rappelle qu'on met un
antilash devant les tir parce que que on
a besoin d'un caractère d'échappement là
je fais une recherche et il va me
filtrer que sur cette machine là donc là
j'en ai qu'une donc forcément ça me
donne le même résultat mais on voit bien
que la requette a fonctionné malgré tout
donc voilà nous venons de voir comment
envoyer des logs d'une machine Linux sur
grlog on a vu aussi comment faire une ou
deux petites requêes pour isoler les
tentatives de connexion SSH en échec la
prochaine étape pourrait être voilà de
générer des alertes de sécurité de voir
comment créer un tableau de bord pour
avoir des métriques des statistiques
des graphes des voilà pas mal de choses
intéressantes qui permettraient d'avoir
une vue d'ensemble directement et que
grelog viendrait mettre à jour de
lui-même donc tout ça c'est ce qu'on
pourra voir dans de prochaines vidéos
dédié à gréog n'hésitez pas à me dire si
vous souhaitez en savoir plus sur ce
sujet n'hésitez pas aussi à à me
suggérer voilà des idées pour poursuivre
cette série en tout cas désormais vous
avez entre vos mains déjà trois vidéos
sur grellog pour déjà bien débutter
alors j'espère que ça vous a plu
n'hésitez pas à liker à commenter et
partager cette vidéo et je vous dis à
très vite Ciao
[Musique]