Logování vytvořených spojení

hapi

nemáš používat zavšivený fprobe

miract

nemáš používat zavšivený fprobe

Co pouzivas ty?

hapi

to druhý, flow-tools

reset

jj, uz jsem to pred chvili castecne rozchodil. Zatim mi to sype na disk cista data. Vypada to docela jednoduse.

Diky za uvodni kopanec :)

reset

pocitam ze policii by mely stacit raw data ze kterych lze vse potrebne vycist.

Nechce se mi to zbytecne sypat do db ci jakkoli jinak to prevadet.

Udelam z toho tar.gz a z logovaci masiny to prevedu do backup masiny.

To by mohlo stacit, ne ?

hapi

případně až přijdou jim to přesipeš do csv a ať si s tim dělaji co chttěji.

miract

to druhý, flow-tools

To vim, tim ty data ukladam, to vsechno funguje naprosto super, jen jsem neprisel na to, jak primo pomoci flow-tools ty data sbirat primo na sitovce, na kterou tecou data z mirror portu switche.

hapi

aha, to bude něco jinýho než stream z mkčka. Pokud se nepletu tak switch dělá doslova mirror jednoho portu takže pro zachytávání musíš síťovku přepnout do promiskuitního režimu a poladit flow-capture.

miract

To prepinani do promiskuitního režimu dela ten fprobe. Uz mi to vsechno funguje jak ma, jsem to zbitecne komplikoval Konecne jsem pochopil, jak to vlastne funguje! Pokud clovek vi co a jak, tak je zprovozneni kompletniho logovaciho serveru(vcetne instalace debianu) otazkou 20 minut 8) A to ze mam vystup jen do tech binarnich rouboru mi vubec nevadi, neb pokud prijde nejake echo od policie, tak uvedou presny datum a cas. Tech par souboru potom prevest na txt a grepnout potrebnou ip je otazka minuty.

Mira

ketch

Když už jsme u toho nakopávání... :) Poradil by mi někdo s tím, proč po restartu(debian) nejede flow-capture? Když za běhu ručně dám

low-capture -z0 -N0 -V5 -n1430 -w /data/flowtools/r0/ 10.0.1.175/10.10.10.1/9995 ,tak se vše tváří v pořádku, ovšem po restartu se v zadaném adresáři pouze přepisuje soubor tmp*, ale žádné nové soubory nevznikají. Příkaz, se kterým to spouštím ručně, sem samozřejmě umístil i do skriptu, který se vykonává při startu(doplněno do /etc/init.d/rc, určite by se našlo lepší umístění). Nevíte, kde by mohla být chyba?

hapi

a proč to děláš takhle? debian má přece config v /etc/flow-tools a všechno si pořeší sám včetně startu po bootu a konec při shutdownu.

Jinak bych se podíval na práva adreseáře, jestli má povoleno do nich zapisovat.

Jinak jako nechápu, debian má nějakou strukturu a ty jsi mu jí celou předělal, místo toho aby jsi to nechla ukládat do /var/flow tak jsi mu to přepsal jinam, konfigurák nějak ignoruješ no prostě debian neni pro tebe.

Jo a ještě něco, proč to ukládáš po minutách? to tam máš za hodinu 60 logů a za den 1440 a za měsíc ... tolik, že se z toho file systém zblázní.

miract

Lugujete i udp, nebo jen tcp? Stim udp jsou ty logy 5x vetsi.

star_gate

Osobně loguju všechno, prostě kompletní provoz ktereý projde síťovkou v routeru. Jiank velikost datových souborů je u mě cca 50-70MB denně a po 5 minutách se vytváří nový soubor kam se ty data sypou...

miract

Osobně loguju všechno, prostě kompletní provoz ktereý projde síťovkou v routeru. Jiank velikost datových souborů je u mě cca 50-70MB denně a po 5 minutách se vytváří nový soubor kam se ty data sypou...

Taky loguji po 5 minutach. u me je to kolem 85MB, pri datovem toku od 10 do 50Mbitu pri logovani pouze tcp. Asi tam na den zapnu i udp a uvidim, jak moc to naroste. Kazdopadne jestli to bude 100 nebo 500MB denne, tak to uz neni tak tragicke. Pri 183 dnech, po kterych se to ma logovat je to do 100GB.

leeonek

Jiank velikost datových souborů je u mě cca 50-70MB denně

Co třeba i uvést průměrný datový tok, možná by to bylo dobré, jinak je ta informace absolutně k ničemu

star_gate

Průměrný datový tok do internetu je součtově DOWN i UP kolem 10Mbps, ve špičkách kolem 18Mbps. Co sem se poptával známích pracujících ve stejné branží tak jich to minimálně polovina nedělá. Osobně se přikláním k tomu že je lepší mít jistotu a trochu místa a výkonu serveru tomu věnovat.

leeonek

Osobně se přikláním k tomu že je lepší mít jistotu a trochu místa a výkonu serveru tomu věnovat.

Ono to není potřeba dokud se něco nestane, proto se tady spoustě lidí do toho nechce, včetně mě :)

star_gate

To sice ano, ale raději budu mít jistotu že je vše v pořádku, než se neustále strachovat aby se náhodou něco nestalo.

reset

me se vytvari soubory po 15min a za dnesni provoz mi veskera komunikace nepresehne 30MB (loguji vse). Je pravdou, ze v tydnu je to mene zatizeny. Prumerne dnenne se protahne kolem 100GB. Max linky je 24 Mb.

miract

No ja mam v prumeru 200GB down a 40 up / den,tak proto asi mam vic. Na zitrek jsem to pustil se vsim, vcetne udp... tak jsem zvedavej, kolik to da. Nijak neomezuju pocet spojeni(neni treba), tak to mozna na tom bude taky znat.

Mira

« Předchozí stránka Další stránka »