Über diesen Getting Started Guide. Log Management einrichten... 2 Eine Lizenz aktivieren... 4 Mit Log Management arbeiten... 5

Transkript

1 Connect With Confidence Astaro Log Management Getting Started Guide Über diesen Getting Started Guide Um Astaro Log Management nutzen zu können, müssen Log-Dateien von individuellen Systemen an die Cloud gesendet werden. Dieses Dokument beschreibt die erforderlichen Schritte, um Log-Dateien von verschiedenen Systemen (u. a. Windows, Cisco und Linux) zu übertragen und Log Management auf Ihrem bereits vorhandenen Astaro Security Gateway zu aktivieren. Inhaltsverzeichnis Log Management einrichten... 2 Eine Lizenz aktivieren... 4 Mit Log Management arbeiten... 5 a) Das Dashboard... 7 b) Der Relational Browser... 8 c) Diagramme (Charts) d) Ereignisse (Events) e) Geräte (Devices) f) Einstellungen (Settings) g) Berichte (Reports) h) Suche (Search) Logs weiterleiten a) Windows b) Linux c) Cisco Astaro GmbH & Co. KG a Sophos company Amalienbadstr. 41/Bau Karlsruhe T: F:

2 Log Management einrichten Astaro Log Management steht allen Astaro Security Gateway Kunden als Service zur Verfügung. Um Log Management auf Ihrem Astaro Security Gateway zu aktivieren, stellen Sie zunächst sicher, dass die Version oder höher installiert ist. Öffnen Sie anschließend die WebAdmin Benutzeroberfläche zur Verwaltung des Security Gateways. Auf der linken Seite wird ein Menü angezeigt. Klicken Sie im Menü links auf Log Management und dann auf das Menü Einstellungen. Klicken Sie anschließend oben auf die Schaltfläche Aktivieren. 2

3 Sollte dies das einzige Astaro Security Gateway in Ihrem Unternehmen sein, können Sie mit dem Abschnitt Mit Log Management arbeiten fortfahren. Wenn Sie mehrere Astaro Security Gateways in Ihrem Unternehmen einsetzen (z.b. für Zweigstellen, redundante Gateways, dedizierte Mail-Security-Gateways usw.), aktivieren Sie Log Management wie oben beschrieben auf einem der Security Gateways und notieren Sie anschließend den eindeutigen Identifikationsund Join-Code, der nach der Aktivierung von Log Management in der Benutzeroberfläche angezeigt wird. Geben Sie bei der Aktivierung von Log Management auf weiteren Astaro Security Gateways einfach diese Codes an. Dadurch stellen Sie sicher, dass die Logs aller Ihrer Geräte unabhängig von ihrem jeweiligen Standort zentral erfasst und analysiert werden. Eine Anleitung dazu, wie Sie eine Lizenz anwenden und wie Sie Geräte für das Logging deaktivieren und aktivieren, finden Sie im Abschnitt Eine Lizenz aktivieren. 3

4 Eine Lizenz aktivieren Wenn Sie Log Management auf einer ASG aktivieren, starten Sie damit automatisch eine kostenlose Testlizenz. Um eine Volllizenz zu installieren, öffnen Sie den WebAdmin und wechseln Sie in das Menü Log Management. Wählen Sie im Untermenü Einstellungen die Registerkarte Lizenzstatus aus. Auf dieser Seite können Sie den Lizenzcode eingeben und den Status Ihrer aktuellen Lizenz abfragen. Wenn Sie Log-Daten von mehr Geräten senden, als Sie lizenziert haben, nimmt das Log Management-System die Daten von den Geräten, die Ihre Lizenzanzahl überschreiten, nicht mehr an. Sie können im Gerätemenü im Log Management Portal auswählen, von welchen Geräten Daten empfangen werden. Weitere Informationen finden Sie im Abschnitt Geräte. 4

5 Mit Log Management arbeiten Nachdem Sie Log Management gestartet und aktiviert haben, sehen Sie in der WebAdmin Benutzeroberfläche eine Seite wie im folgenden Beispiel angezeigt: Nach der Aktivierung werden alle Logs automatisch vom Astaro Security Gateway analysiert und gespeichert. Um Logs von anderen Geräten wie Servern, Workstations, Netzwerkgeräten usw. zu senden, folgen Sie bitte den Anweisungen im Kapitel 5

6 Logs weiterleiten. Sie können alle Ihre Logs verwalten, durchsuchen und ansehen, wenn Sie dem Link zum Log Management Portal im WebAdmin folgen (siehe Bild oben). Der folgende Abschnitt beschreibt jede Funktion im Log Management Portal und hilft Ihnen bei Ihren ersten Schritten. 6

7 a) Das Dashboard Das Dashboard ist eine Übersichtsseite. Es zeigt Ihnen ein Diagramm mit dem Log-Volumen der letzten Woche sowie die wichtigsten Ereignisse auf einer scrollbaren Zeitleiste an. Wenn Sie auf ein Ereignis in der Zeitleiste klicken, werden die Ereignisdetails angezeigt. Wenn Sie dagegen auf einen beliebigen Punkt im Diagramm klicken, öffnet sich die Diagrammseite (Charts page) und Sie können in den entsprechenden Zeitraum hineinzoomen. Das Dashboard verfügt zudem über zwei Unterseiten die Suche und den Relational Browser. Suche ist einfach ein Link zur zentralen Suchfunktion, auf die Sie auch zugreifen können, indem Sie auf das Suche-Symbol in der oberen rechten Ecke klicken. Weitere Informationen finden Sie unten im Kapitel Suche. Der Relational Browser stellt die Beziehungen zwischen den wichtigsten Ereignissen grafisch dar und erleichtert dadurch die Navigation. Zuerst werden die wichtigsten Geräte angezeigt. Das sind die Geräte mit den meisten Ereignissen in den letzten 24 Stunden. 7

8 b) Der Relational Browser Wenn Sie auf ein Gerät klicken, werden die nach Priorität sortierten wichtigsten Ereignisse dieses Geräts angezeigt. Durch Klicken auf das jeweilige Ereignis erfahren Sie die zu diesem Ereignis gehörenden Variablen wie Benutzernamen, IP-Adressen usw. 8

9 Sie können anschließend auf diese Variablen klicken, um weitere, korrelierende Ereignisse anzuzeigen. Auf diese Weise können Sie schnell alle Ereignisse anzeigen, die z.b. die IP-Adresse des Ereignisses beinhalten, das Sie genauer prüfen wollen. Es handelt sich um eine sehr schnelle Möglichkeit, Variablen systemübergreifend näher zu betrachten. 9

10 c) Diagramme (Charts) Die Diagrammseite zeigt Log-Volumen im Zeitverlauf. Über die Felder auf der linken Seite können Sie die Ansicht filtern. Wenn Sie ein einzelnes Gerät (oder verschiedene Programme oder Anwendungen) auswählen, können Sie schnell einen Überblick darüber erhalten, wie sich das Log-Volumen für bestimmte Ressourcen im Zeitverlauf ändert. So ist es mit nur wenigen Klicks einfach möglich, alle Fehler-Logs z.b. vom SQL-Server zu finden. Wenn Sie auf Punkte im Schaubild klicken, können Sie in dieses hineinzoomen und das Diagramm neu anzeigen lassen. Wenn Sie die minutengenaue Darstellung erreichen, wechseln Sie durch Klicken auf das Diagramm in die Suchansicht, die alle im Diagramm dargestellten Logs beinhaltet. Zu dieser Ansicht gelangen Sie auch, indem Sie in der oberen rechten Ecke auf Protokollmeldungen anzeigen klicken. 10

11 d) Ereignisse (Events) Auf der Registerkarte Ereignis (Events) stehen zwei Ansichten zur Verfügung die Ereignisliste und die Zeitleiste. Die Zeitleiste ist eine erweiterte Version der Zeitleiste auf dem Dashboard. Die Zeitleiste lässt sich in drei verschiedenen Tiefen darstellen Stunden, Tage oder Monate. Klicken Sie einfach auf die Darstellung und ziehen Sie Ihre Maus nach links oder rechts. Wie bei der Log-Volumen-Seite aktualisieren die Felder (Drawer) auf der linken Seite die Zeitleiste dynamisch anhand der von Ihnen ausgewählten Filter. Wenn Sie auf ein Ereignis im Diagramm klicken, sehen Sie die Logs für das Ereignis und können Ereignisse einfach über ein Ticketing-System nachverfolgen. Ereignisse lassen sich akzeptieren oder schließen und verbleiben in der Kategorie Neu, bis ein Administrator das Ereignis prüft. Wenn Sie auf die Registerkarte Liste klicken, zeigen Sie damit die gleichen Ereignisse wie in der Zeitleiste in Form einer Liste an. Die Felder für die Filterung sind identisch und die Auswahl der Drawer wird von der Zeitleiste auch auf die Ereignisliste übertragen. Ein Beispiel finden Sie unten. 11

12 Die Liste lässt sich nach ID, Zeit, Schweregrad, zuständigem Administrator oder Status sortieren und jederzeit als XML-Datei exportieren. Es ist zudem möglich, die Ereignisliste nach bestimmten Schlüsselwörtern zu durchsuchen. Bitte beachten Sie, dass sich diese Funktion von einem Durchsuchen der puren Logmeldungen unterscheidet. 12

13 e) Geräte (Devices) Die Registerkarte Geräte zeigt eine Liste aller Geräte an, von denen das System Log-Daten empfangen hat. Hier können Sie Geräte umbenennen (dies ist z.b. sehr nützlich, um für eindeutige Bezeichnungen für die Berichterstellung, Fehlermeldungen und Events zu sorgen). Zudem können Sie sehen, wann das Gerät erstmalig Logs gesendet hat (First Seen) und wann das letzte Log empfangen wurde (Last Seen), die Zeitverschiebung anpassen (um mehrere Zeitzonen zu unterstützen) und ein Gerät deaktivieren. Sie deaktivieren ein Gerät, indem Sie mit der rechten Maustaste auf den Gerätenamen klicken. Damit stoppen Sie die Log-Verarbeitung für das Gerät und geben eine Lizenz frei, die Sie für ein anderes Gerät verwenden können. Durch Doppelklick auf das Gerät können Sie den hier dargestellten Live Log Viewer aufrufen. Dieser zeigt eingehende Logs (in Echtzeit) an. Dies ist hilfreich, wenn Sie für ein bestimmtes Gerät nach Fehlern suchen oder den Log-Eingang bei der Einrichtung einer Log-Weiterleitung überprüfen möchten. 13

14 f) Einstellungen (Settings) Im Menü Einstellungen können Sie das Regelwerk definieren, das zur Analyse von Logs verwendet wird, sowie Benutzer einrichten und verwalten. In der Regelliste sind alle verfügbaren Regeln aufgeführt und es wird angezeigt, ob diese aktiviert oder deaktiviert sind. Wenn Sie auf eine Regel klicken, können Sie die jeweiligen Details bearbeiten und Alarmierungsoptionen ändern. Sie können sich z.b. jedes Mal per informieren lassen, wenn eine Regel ausgelöst wird, oder Benachrichtigungen für Zeiträume von einer, zwei, drei, sechs oder 12 Stunden oder einem ganzen Tag zusammenfassen. Mithilfe des unten dargestellten Rule Builders können Sie auch einfach neue Regeln erstellen. 14

15 Die Anzeige von Nachrichten (Messages) richtet sich nach den Bedingungen AND oder OR, je nach Ihrer Auswahl oben auf der Seite, und Sie können so viele Regeldetails hinzufügen, wie Sie wünschen. Andere Optionen im Menü Einstellungen betreffen die Benutzerverwaltung. Sie können Ihre eigenen Benutzereinstellungen ( -Adresse usw.) ändern und einstellen, wann Sie den wöchentlichen Bericht erhalten möchten. Auf der Seite Admin Accounts können Sie neue Benutzer einrichten (jeder Benutzer kann individuelle Alarmeinstellungen, Berichteinstellungen usw. definieren) und vorhandene Benutzer verwalten. Auf der Registerkarte Einstellungen können Sie schließlich den Windows-Agent herunterladen. Im nächsten Abschnitt finden Sie weitere Informationen darüber, wie Sie Logs aus Windows-Systemen weiterleiten. 15

16 g) Berichte (Reports) Jeder Benutzer kann per einen wöchentlichen Übersichtsbericht über die neuesten Aktivitäten erhalten. Diese Funktion lässt sich für jeden Benutzer auf der Registerkarte Einstellungen aktivieren. In den Berichten finden Sie einen Überblick über alle Geräte und Ereignisse der letzten Woche. Alarmmeldungen dagegen benachrichtigen Sie über spezifische Ereignisse, die typischerweise ein einziges Gerät betreffen. Davon unberührt bleibt Ihnen trotzdem die Möglichkeit, auf der Registerkarte Berichte einen Bericht für ein bestimmtes Datum zu erstellen. Wählen Sie einfach ein Datum oder eine der oben auf der Seite vordefinierten Optionen aus. Der Bericht wird dann unmittelbar erstellt. Der Bericht wird im PDF-Format erstellt und lässt sich direkt aus dieser Ansicht speichern. 16

17 h) Suche (Search) Die Suche ermöglicht es Ihnen, alle Logs zu durchsuchen, die je vom Log Management Service erfasst wurden. Es steht eine Volltextsuche zur Verfügung, die ähnlich wie Google funktioniert. Wenn Sie admin in das Suchfeld eingeben, werden alle Logs angezeigt, die das Wort admin enthalten. Wenn Sie admin joe eingeben, werden alle Logs angezeigt, die sowohl das Wort admin als auch das Wort joe enthalten. Sie können normale Operatoren wie - zum Ausschluss eines Worts ( admin -joe zeigt Ihnen alle Logs an, die admin enthalten, aber nicht joe ) oder + nutzen. Der Datumsselektor ermöglicht es Ihnen, Ihre Suche auf bestimmte Daten oder Zeiträume zu begrenzen (das Standard-Suchfenster sind 24 Stunden). Wenn Sie das Enddatum nicht ändern, wird es automatisch auf das aktuelle Datum und die aktuelle Zeit gestellt. Dies ermöglicht es Ihnen, Suchvorgänge mehrmals zu wiederholen, ohne das Enddatum auf die aktuelle Zeit einstellen zu müssen. Die Felder links ermöglichen es Ihnen, Meta-Daten wie Programme, Geräte oder Ebenen auszuwählen. Sobald Sie in diesen Feldern eine Auswahl treffen (Sie können in jedem Feld mehrere Elemente auswählen), werden die Suchergebnisse automatisch entsprechend aktualisiert. Sie können die Suchergebnisse in JSON oder XML exportieren. Wenn es sich um eine lange Liste handelt, könnte ein Export etwas länger dauern, weil die vollständigen Log-Inhalte exportiert werden. 17

18 Logs weiterleiten Logs lassen sich von fast jedem Netzwerkgerät weiterleiten, einschließlich Windows-Systemen, Linux, Unix, Mac OSX, AIX, Astaro Security Gateways, Cisco-Geräten und vielen mehr. Log Forwarding auf der ASG aktivieren Um Logs von lokalen Servern, Workstations und Netzwerk-Geräten zu senden, müssen Sie Log Forwarding auf der ASG konfigurieren. Auf diese Weise können Sie auf der ASG Logs aus dem internen Netzwerk empfangen. Fügen Sie im Konfigurationsdialog Erlaubte Netzwerke (Allowed Networks) die Netzwerke hinzu, aus denen heraus sich Client-Geräte mit der ASG verbinden, um Logs zu senden. Sie können zudem den Port ändern, auf der die ASG empfangsbereit ist. Die ASG wartet auf dem angegebenen Port auf Logs, die sowohl über TCP- als auch über UDP-Verbindungen gesendet werden. Es wird automatisch ein Paketfilter erstellt, der eingehende Verbindungen von den in Erlaubte Netzwerke aufgeführten Netzwerken auf dem angegebenen Port zulässt (sowohl TCP als auch UDP). Senden von Logs an die ASG Um Log Forwarding auf Client-Geräten einzurichten, reicht es oft aus, mithilfe der Gerätedokumentation das Versenden von Logs im syslog-format an einen lokalen Server zu aktivieren. Die Ziel-IP ist die IP-Adresse der ASG-Schnittstelle, mit der der Client verbunden ist. In diesem Abschnitt gehen wir darauf ein, wie Sie Logs von Windows-Geräten, Linux-Servern und einigen Cisco- Geräten versenden. 18

19 a) Windows Astaro stellt einen Lightweight-Agent bereit, der sich auf Windows-Systemen installieren lässt, um alle Windows Event Logs an Astaro Log Management zu übertragen. Es werden fast alle Windows-Versionen unterstützt: Windows 2000 Professional, Windows XP, Windows Vista, Windows 7 (sowohl 32- als auch 64-Bit) Windows 2000 Server, 2003 Server, 2003R2, 2008, 2008R2 (sowohl 32-Bit- als auch 64-Bit-Editionen). Der Windows-Agent steht im Log Management Portal zum Download bereit, auf das Sie über die ASG WebAdmin Benutzeroberfläche zugreifen können. Sie können den Agent über Settings, Download direkt herunterladen. Um den Agent zu installieren, klicken Sie auf die ausführbare Datei, die Sie heruntergeladen haben. Es wird das folgende Fenster angezeigt: Klicken Sie auf Next. 19

20 Es wird das folgende Fenster angezeigt: Wählen Sie das Zielverzeichnis und klicken Sie auf Next. Der Agent wird installiert und der folgende Bildschirm angezeigt: Das ist alles. Es ist keine Konfiguration erforderlich. Sie sollten jetzt Logs von Ihrem Windows-System erhalten. Um den Agent auf weiteren Windows-Geräten zu installieren, führen Sie das Installationsprogramm erneut aus. Der Client versucht, sich mit IP zu verbinden. Jede ASG auf der Standard-Route eines Clients, der Log Management und Log Forwarding aktiviert hat, akzeptiert die Verbindung und erfasst die eingehenden Log- Daten. Wenn sich die ASG nicht auf der Standard-Route befindet, müssen Sie die IP-Adresse ändern, indem Sie entweder den Registry-Eintrag unter HKLM\SOFTWARE\Wow6432Node\Astaro\Log Management Client bearbeiten oder eine Konfigurationsdatei unter dem Installationspfad des Clients ablegen und einen Neustart durchführen. Die Konfigurationsdatei ist eine Textdatei mit dem Namen config.txt, die die Zeilen ip=<ip> und port=<tcp-port> enthält (keine Leerzeichen und jede Angabe in einer neuen Zeile) und die nach dem Eintrag in die Registry entfernt wird. 20

21 b) Linux Auf den meisten Linux-Systemen können Sie die folgenden Schritte ausführen: - Bearbeiten Sie /etc/syslog.conf und fügen Sie die folgende Zeile hinzu: (wobei durch die IP-Adresse Ihrer ASG ersetzt wird. Diese finden Sie im WebAdmin der ASG unter Log Management ist die Standard-Portnummer und muss angegeben werden. Dieser Port kann im WebAdmin geändert werden). - Stellen Sie sicher, dass syslogd ausgeführt wird, indem Sie die folgenden Zeilen, sofern nicht bereits vorhanden, zu /etc/rc.conf hinzufügen: syslogd_enable = "yes" syslogd_flags = "-s vv" - Neustart von syslogd: /etc/rc.d/syslogd restart Weitere Informationen darüber, wie Sie Logs an einen syslog-server senden, finden Sie in der Dokumentation Ihrer Linux-Distribution. c) Cisco Die meisten Cisco-Switches, Router, IOS-Geräte und PIX-Firewalls lassen sich über die unten angegebenen Schritte konfigurieren. Bauen Sie eine SSH- oder telnet-verbindung zu Ihrem Gerät auf und führen Sie die folgenden Befehle aus: config terminal logging timestamp logging host transport tcp port (wobei durch die IP-Adresse Ihrer ASG ersetzt wird. Diese finden Sie im WebAdmin Ihrer ASG unter Log Management). logging trap 6 logging on 21

22 Cisco VPN Concentrators müssen über die Benutzeroberfläche konfiguriert werden. Gehen Sie zu Configuration System Events Syslog-Server. Klicken Sie auf Add. Geben Sie die IP-Adresse (wobei durch die IP-Adresse Ihrer ASG ersetzt wird. Diese finden Sie im WebAdmin der ASG unter Log Management) und die Portnummer ein. Klicken Sie auf Add. Gehen Sie zu Configuration System Events General Stellen Sie Severity auf Syslog ein und wählen Sie einen Wert aus (1 5 empfohlen) Klicken Sie auf Apply. Klicken Sie auf die Schaltfläche Save Needed. Informationen zur Konfiguration anderer Geräte finden Sie in der entsprechenden Gerätedokumentation zur syslog-konfiguration. Kontaktieren Sie uns Europa, Naher Osten, Afrika Nord-/Südamerika Asien Pazifik Japan Astaro GmbH & Co. KG Astaro Corporation Astaro Asia Astaro K.K. A Sophos Company A Sophos Company A Sophos Company A Sophos company Amalienbadstr. 41/Bau 52 3 Van de Graaff Drive 8 Eu Tong Sen Street 22F Shibuya Mark City West Karlsruhe Burlington, MA #12-99, The Central Dogenzaka Deutschland USA Singapur Shibuya-ku Tokyo Tel.: Tel.: Tel.: Tel.: emea@astaro.com americas@astaro.com apac@astaro.com apac@astaro.com 22