Supervision de pare-feu avec firelogd

• # Ne pas oublier syslog-ng et fwlogwatch...

  Posté par DaFrog le 13 juin 2002 à 11:26. Évalué à 10.

  

  Le premier : http://www.balabit.hu/en/downloads/syslog-ng/(...) remplace syslog et permet de trier les logs avec des expressions régulières (et pas seulement par priorité comme pour syslog). On peut donc "facilement" regrouper tous les logs orientés sécurité dans un log à part...
  
  Le second : http://cert.uni-stuttgart.de/projects/fwlogwatch/(...)
  permet de filtrer les logs ipchains/iptables/ipfilter/snort et d'autres, de générer du HTML ou du texte brut, d'envoyer des e-mails, etc...
  
  Même si c'est à l'admin de faire le boulot, il vaut mieux être bien équippé.
  
  DaFrog.

• # J'comprends rien à l'informatique...

  Posté par pas_moi le 13 juin 2002 à 12:06. Évalué à 10.

  

  Superviser un pare-feu sous Linux peut devenir un véritable challenge à cause de la nature "textuelle" de l'OS
  
  Depuis quand la nature "textuelle" d'un outil rend sa supervision plus compliquée que celle d'un outil avec une jolie interface ? Autant que je sache, il est plus facile d'extraire des informations d'une chaîne de caractères que d'une image...

  • [^] # Re: tu comprends rien à l'informatique...

    Posté par Victor Vuillard le 13 juin 2002 à 12:18. Évalué à 10.

    

    ben j'ai pas testé firelogd mais si t'as un truc qui te dit "il y a un scan de tel pc vers tel pc du port tant à tant" c'est qd meme mieux que d'avoir qqes centaines de lignes de logs pour chaque port...
    enfin, c'est juste une idée !
    ceci dit les résumés peuvent aussi bien se retrouver dans une interface graphique ou dans un autre fichier de log...

    • [^] # Re: je ne comprends rien à l'informatique et en plus on me prend pour un c

      Posté par pas_moi le 13 juin 2002 à 12:42. Évalué à 10.

      

      il y a un scan de tel pc vers tel pc du port tant à tant
      
      Et tu as forcément besoin d'une interface graphique pour pouvoir afficher ce message?
      
      Les fichiers de log sont fait pour être lus soit par des admins courageux/balaiz/dino, soit par des outils d'analyse, et je ne vois pas en quoi ces outils devraient toujours avoir une interface graphique...

      • [^] # Re: je ne comprends rien à l'informatique et en plus on me prend pour un c

        Posté par Victor Vuillard le 13 juin 2002 à 18:29. Évalué à 0.

        

        ben lis jusqu'au bout, c'est exactement ce que je disais....
        :-P

        • [^] # Re: je ne comprends rien à l'informatique et en plus on me prend pour un c

          Posté par pas_moi le 14 juin 2002 à 01:15. Évalué à 4.

          

          Quand je lis jusqu'au bout, je vois «dans une interface graphique ou dans un autre fichier de log»; si on considère qu'une interface graphique peut s'envisager en mode texte (il y a de très bons analyseurs/sniffeurs en console) alors je suis d'accord avec ta phrase; mais je ne parlais pas de savoir si c'est mieux d'utiliser une interface graphique ou texte pour afficher les résultats de la supervision. Tout le monde est d'accord: c'est plus simple de faire quelque chose de beau en graphique (je n'ai pas dit "mieux", juste "beau").
          
          Dans la news, il est quand même écrit que le fait que Linux préfère les caractères aux pixels est un obstacle à la supervision!!! Soit c'est un troll qui s'est glissé là en passant, soit c'est une grosse bêtise, mais dans les deux cas ça n'a rien à faire dans une news DLFP.

• # il y a aussi swatch...

  Posté par Didier le 13 juin 2002 à 15:25. Évalué à 8.

  

  swatch utilise des regexp et peut déclencher des actions en conséquences.
  
  http://www.oit.ucsb.edu/~eta/swatch/(...)

• # Corrélation multi-logs

  Posté par quad le 13 juin 2002 à 16:49. Évalué à 6.

  

  On commence à voir des produits (proprios :( ) pointer le bout de leur nez en ce qui concerne la corrélation de logs multi-sources. C'est une techno qui a le vent en poupe (la preuve ? j'en cherche un :) ).
  
  Quand on se trimballe après centralisation des kilo-logs de firewall + [nh]ids + syslog + scanner d'intégrité + ..., on arrive à un point où l'on ne peut plus traiter avec son p'tit cerveau d'humanoïde limité. Un traitement de logs digne de ce nom ne se résume pas à des regexp et un coup de gnuplot : ça serait trop simple. Les moteurs de corrélation sont faits pour tirer le meilleur parti des logs, comme un datawarehouse pour des données, ou un compilo pour des sources.
  
  Je me contentais effectivement de swatch auparavant, mais là, c'est plus suffisant ...

  • [^] # Re: Corrélation multi-logs -1

    Posté par Gloo le 15 juin 2002 à 04:55. Évalué à -1.

    

    business object ? Faut juste un peu detourner le soft. :o)
    
    -1

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.