Kif tibgħat il-logs tal-appliance lil kollettur remot b’mod sigur

L-appliance tista’ toħroġ logs, il-kollettur jinsab fuq in-naħa l-oħra tal-internet, u l-ewwel mistoqsija li jagħmel kulħadd hija liema tunnel għandu jinbena. Dan il-qafas jibda fil-post żbaljat. Dak li jiddetermina t-trasport huwa l-format li l-appliance tista’ tipproduċi, l-awtentikazzjoni li l-kollettur se jaċċetta, u x’għandha tfisser “imwassla” meta l-ħolqa taqa’. Ikteb dawk it-tliet tweġibiet, u t-trasport normalment jagħżel lilu nnifsu.

Ibda minn dak li l-appliance tista’ toħroġ

Fil-prattika hemm biss tliet forom. Avvenimenti syslog individwali fuq UDP jew TCP, upload HTTPS awtentikat mibni fil-prodott, jew fajls sħaħ miktuba fuq id-diska li jridu jiġu mċaqalqa. Firewall li tista’ tibgħat biss syslog UDP mhix se ssir mittent TLS għax żidt tunnel; xorta se tibgħat datagrams mhux ikkonfermati, issa ġewwa envelop kriptat.

Għalhekk l-ewwel inventarja l-mittent: protokoll, appoġġ TLS u liema librerija TLS, jekk tistax tivvalida ċ-ċertifikat tal-kollettur, jekk tistax tippreżenta ċertifikat tal-klijent, u jekk il-buffer tal-bgħit jgħaddix minn restart. Kull ma l-appliance ma tistax tagħmel irid isir minn xi ħaġa oħra fit-triq, u dik il-ħaġa l-oħra ssir parti mid-disinn tiegħek.

Syslog TLS: l-iqsar triq meta ż-żewġ trufijiet jitkellmuha

Jekk l-appliance tappoġġja syslog fuq TLS u l-kollettur jitterminaha, użaha u waqaf. Il-protokoll tal-applikazzjoni jipproteġi lilu nnifsu, il-kollettur jawtentika lill-mittent, u m’hemmx qabża żejda li issa għandek id-disponibbiltà tagħha. Il-qatra hija li “syslog TLS” tkopri firxa wiesgħa ta’ implimentazzjonijiet, u il-linji gwida attwali għal syslog sigur marru lil hinn mil-listi taċ-ċifrar fit-tutorials qodma, u għalhekk forwarder li jaħdem isir miksur wara aġġornament tal-librerija.

F’rsyslog, l-isem tal-modulu tat-trasport waħdu jgħidlek f’liema era int: lmnsd_gtls iddawwar GnuTLS, filwaqt li lmnsd_ossl iddawwar OpenSSL u dan jipprovdu l-pakketti 8.x attwali. Azzjoni ta’ tibgħat b’validazzjoni taċ-ċertifikat tidher bejn wieħed u ieħor hekk, u l-ismijiet eżatti tal-parametri jistħoqqilhom jiġu vverifikati mal-verżjoni installata tiegħek:

action(type="omfwd" target="collector.example" port="6514" protocol="tcp"
       StreamDriver.Name="ossl" StreamDriver.Mode="1" StreamDriver.AuthMode="x509/name"
       StreamDriver.CAFile="/etc/pki/ca.pem"
       queue.type="LinkedList" queue.filename="fwdq" queue.maxDiskSpace="1g"
       queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Ivverifika l-punt tat-tmiem qabel ma tiddeb gat il-mittent. openssl s_client -connect collector.example:6514 -servername collector.example -CAfile /etc/pki/ca.pem -verify_return_error jew itemm handshake b’katina valida jew jgħidlek eżattament liema verifika falliet. Ipprova mill-appliance, mhux mil-laptop tiegħek, għax il-maħżen tal-fiduċja tal-appliance huwa dak li jgħodd.

SFTP: tajjeb għall-fajls, żbaljat għall-flussi

Il-kunsinna bbażata fuq fajls togħġob lil appliances li jiktbu logs li jduru u xejn aktar. Trasferiment ibbażat fuq SSH jagħtik ċwievet tal-host, ċwievet għal kull kont u sistema tal-fajls li tista’ tawditja, li hija storja ta’ fiduċja raġonevoli għal apparat li ma jistax jagħmel TLS xejn. Hija għażla fqira għal flussi ta’ avvenimenti, fejn “il-fajl jinkiteb kull siegħa” ifisser li waqfa tiswielek id-denb tas-siegħa kurrenti.

Ħalli l-verifika tal-host mixgħula. Sejħa batch li titfiha biex tevita prompt teqred l-unika awtentikazzjoni li għandu t-trasport:

sftp -b /etc/logship/batch -o BatchMode=yes -o StrictHostKeyChecking=yes      -o IdentitiesOnly=yes -i /etc/logship/id_ed25519 [email protected]

Pin il-ċavetta tal-host fil-known_hosts tal-kont waqt il-provvista, illimita l-kont għad-direttorju fil-mira, u ppreferixxi s-subsistema internal-sftp b’chroot. Ippjana wkoll l-istorja tal-bgħit mill-ġdid: jekk fajl jerġa’ jintbagħat wara falliment parzjali, il-kollettur irid jiddistingwi duplikat minn fajl ġdid, normalment bl-isem flimkien maċ-checksum u mhux bil-ħin tal-wasla.

Meta gateway lokali jew tunnel hija t-tweġiba onesta

Xi appliances jistgħu jitkellmu biss format li ħadd ma jrid jesponi. F’dak il-każ kollettur awtorizzat fuq in-netwerk tal-appliance stess jirċievi l-format nattiv u jgħaddih ’il quddiem fuq TLS. Dan huwa disinn leġittimu, imma kun preċiż dwar x’jixtri: il-kriptaġġ li jibda fil-gateway ma jipproteġix retroattivament is-segment bejn l-appliance u l-gateway, għalhekk dik il-qabża xorta għandha bżonn il-fruntiera tal-fiduċja u l-kontroll tal-aċċess tagħha stess.

Tunnel ta’ sit jew apparat bir-rotta huwa l-għażla l-aktar tqila u dik it-tajba meta il-kollettur irid iżomm indirizz privat u jġorr diversi servizzi, mhux biss logs. Iġib ippjanar tal-indirizzi, regoli tal-aċċess, toroq tar-ritorn u ċ-ċiklu tal-ħajja tal-punt tat-tmiem tat-tunnel. Lanqas ma jtejjeb il-protokoll intern: syslog UDP ġewwa tunnel IPsec għadu servizz ta’ datagrams mingħajr konferma tal-kunsinna.

Tkellem x’tagħżel, żomm l-awtorizzazzjoni tal-kollettur idjaq mit-trasport. L-identità tat-tunnel tappartjeni lil punt tat-tmiem, u ma tgħid xejn dwar liema appliance fl-inqas sart ipproduċiet qasam partikolari tal-isem tal-host f’messagg.

Ikteb il-kuntratt tal-kunsinna qabel ma tibgħat

Il-kriptaġġ, l-awtentikazzjoni u ż-żamma jwieġbu mistoqsijiet differenti, u kju mhix politika taż-żamma. Qabel ma l-ewwel log joħroġ mill-appliance, iddeċiedi x’ifisser tassew konferma fuq dan il-kollettur: riċevuta fuq il-wire, aċċettata għall-ipproċessar, jew miktuba b’mod durabbli fil-ħażna. Dawn huma tliet garanziji differenti u biss l-aħħar waħda tgħaddi minn restart tal-kollettur.

Imbagħad wieġeb bil-miktub il-mistoqsijiet operattivi. Fejn jistennew l-avvenimenti mhux mibgħuta, u dak il-buffer jgħaddi minn qtugħ tad-dawl? X’jiġri meta jimtela, u min jiġi mgħarraf? Kif huma limitati l-provi mill-ġdid, u kif jiġu identifikati d-duplikati? Liema qasam jipprova l-identità tal-mittent, meta wieħed iqis li qabża ta’ tibgħat tista’ terġa’ tikteb l-isem tal-host?

Żomm id-disinn żgħir biżżejjed biex jiġi spjegat f’paragrafu wieħed: l-iżgħar trasport appoġġjat li jġorr l-avvenimenti meħtieġa, flimkien ma’ dikjarazzjoni espliċita tal-garanziji li ma jipprovdix. Jekk it-tweġiba teħtieġ żewġ qabżiet, għid hekk fir-runbook u agħti lil kull qabża sid.