Install Guide_SIEM

You are here:--Install Guide_SIEM

Linux Syslog-Audit

 1. Syslog Audit 활성화(아래 1, 2번 중 선택 사용)   1.1 Audit Log 패키지 개별 설치를 진행합니다. ▶ CentOS, Red Hat, Amazon Linux # yum -y install audit audisp-plugins ▶ Ubuntu # apt -y update # apt -y install auditd audispd-plugins ※ 사용자 환경에 따라 아래 패키지를 설치해주세요. ▶ CentOS, Red Hat, Amazon Linux

Redis(Ubuntu) 로그 분석

1. redis.conf 수정 > 사전 Syslog 설치 필요 > Config 위치 확인 loglevel notice syslog-enabled yes syslog-facility local7 2. Redis 데몬 재시작 service redis restart 3. PLURA 에서 확인 로그 샘플 예) 위 내용을 활용해서 필터를 등록하면 탐지로그를 확인할 수 있습니다.(Syslog 필터등록 바로가기)

PostgreSQL(Ubuntu) 로그 분석

1. postgresql.conf 수정 > 사전 Syslog 설치 필요 > Config 위치 확인 [config 경로 예시] /var/lib/pgsql/9.6/data/postgresql.conf [수정 예시] # ERROR REPORTING AND LOGGING 하단에서 수정 log_destination = 'stderr' 라인을 주석처리 log_destination = 'syslog' 라인 추가 # These are relevant when logging to syslog: 하단의 다음 4라인 주석 해제 #syslog_facility = 'LOCAL0' #syslog_ident = 'postgres' #syslog_sequence_numbers

Redis(CentOS) 로그 분석

1. redis.conf 수정 > 사전 Syslog 설치 필요 > Config 위치 확인 loglevel notice syslog-enabled yes syslog-facility local7 2. Redis 데몬 재시작 service redis restart 3. PLURA 에서 확인 로그 샘플 예) 위 내용을 활용해서 필터를 등록하면 탐지로그를 확인할 수 있습니다.(Syslog 필터등록 바로가기)

PostgreSQL(CentOS) 로그 분석

1. postgresql.conf 수정 > 사전 Syslog 설치 필요 > Config 위치 확인 [config 경로 예시] /var/lib/pgsql/9.6/data/postgresql.conf [수정 예시] # ERROR REPORTING AND LOGGING 하단에서 수정 log_destination = 'stderr' 라인을 주석처리 log_destination = 'syslog' 라인 추가 # These are relevant when logging to syslog: 하단의 다음 4라인 주석 해제 #syslog_facility = 'LOCAL0' #syslog_ident = 'postgres' #syslog_sequence_numbers

MySQL(CentOS) 로그 분석

1. mysql.conf 다운로드 rsyslog 사용 curl https://repo.plura.io/v5/module/rsyslog/80-mysql.conf -o /etc/rsyslog.d/80-mysql.conf 2. 80-mysql.conf 수정 > mysql error 로그 위치 확인 #vi /etc/rsyslog.d/80-mysql.conf 3. rsyslog 데몬 재 시작 service rsyslog restart 4. PLURA 에서 확인하기 위 내용을 활용해서 필터를 등록하면 탐지로그를 확인할 수 있습니다.(Syslog 필터등록 바로가기)

응용프로그램 로그 수집

응용프로그램 로그 中 특별한 키워드를 실시간 탐지하고 싶은 경우 어떻게 하면 될까요? 예를 들어, 아래와 같은 응용프로그램 로그 中 2020010100037 키워드를 실시간 탐지할 경우입니다. 1. 수집되는 로그 확인하기 2. conf 설정하기(rsyslog 사용) ※ 80-application.conf → conf 파일 생성하기 # vi /etc/rsyslog.d/80-application.conf 3. conf 파일 생성 예시 ※ File = "로그 경로", Tag = "로그 태그",

xrdp 로그 분석

1. xrdp.conf 다운로드 rsyslog 사용 curl https://repo.plura.io/v5/module/rsyslog/80-xrdp.conf -o /etc/rsyslog.d/80-xrdp.conf 2. 80-xrdp.conf 수정 > /etc/xrdp/xrpd.ini 로그 위치 확인 [Logging] LogFile=xrdp.log LogLevel=DEBUG EnableSyslog=true SyslogLevel=DEBUG > /etc/xrdp/sesman.ini 로그 위치 확인 [Logging] LogFile=xrdp-sesman.log LogLevel=DEBUG EnableSyslog=1 SyslogLevel=DEBUG #vi /etc/rsyslog.d/80-xrdp.conf 3. rsyslog 데몬 재 시작 service rsyslog restart 4. PLURA 에서 확인하기   위 내용을 활용해서 필터를 등록하면 탐지로그를 확인할 수

Openvpn 로그 분석

1. openvpn.conf 다운로드 rsyslog 사용 curl https://repo.plura.io/v5/module/rsyslog/80-openvpn.conf -o /etc/rsyslog.d/80-openvpn.conf 2. 80-openvpn.conf 수정 > /etc/openvpn/server/server.conf 로그 위치 확인 log /var/log/openvpn.log log-append /var/log/openvpn.log #vi /etc/rsyslog.d/80-openvpn.conf 3. openvpn server conf 수정 > logging 레벨 확인 verb 4 #vi /etc/openvpn/server/server.conf 4. rsyslog 데몬 재 시작 service rsyslog restart 5. PLURA 에서 확인하기 위 내용을 활용해서 필터를 등록하면 탐지로그를 확인할

Apache httpd error 로그 수집

1. conf 설정하기(rsyslog 사용) ※ 80-httpd.conf → conf 파일 생성하기 # cd /etc/rsyslog.d/ # vi /etc/rsyslog.d/80-httpd.conf 2. conf 파일 생성 ※ File = "로그 경로", Tag = "태그", Severity = "심각도", programname = "프로그램명" ## vi /etc/rsyslog.d/80-httpd.conf #variables required for non-syslog log file forwarding - httpd error log file #edit on your location input(type="imfile" File="/var/log/httpd/error_log"