Newsgroup: it.comp.os.linux.sys
Titolo: Smisurate misure entro il 15/12/09 e interfaccia presentazione

Bene, adesso ho un bel logserver con disco crittato che raccoglie i
log di sicurezza quindi con gli accessi, di 7 server Windows
(EventLogToSyslog-1.2.5) e di due macchine Linux (auth.log).
L'auth.log della macchina (Linux) su cui viene raccolto tutto questo
ben di Dio viene fatto ruotare dopo 6 mesi, mantenendo un file di log
attivo per una settimana e dopodik comprimendo i piu` vecchi.
Tutto cio` e` molto bello e io pensavo di aver finito, nel senso di
dire all'auditor: i log sono quelli li`, le date puoi capire quali
sono oltre che da quanto c'e` scritto all'interno dei files anche da
quella dei file, qui c'e` grep e gli amministratori possibili sono
Tizio, Caio e Sempronio, buon divertimento.
O al limite, per essere magnanimo, di scremargli preventivamente i
files di log con uno scriptino tirando fuori solo gli eventi di
accesso degli amministratori e magari dando dei nomi parlanti ai files
per quanto riguarda il periodo delle registrazioni contenute.
Invece mi hanno detto che l'auditor potrebbe essere una creatura
completamente aliena dalla riga di comando, con difficolta`
insuperabili nell'uso della tastiera, ma che forse riusciva a cliccare
col mouse.
Al che dovrei mettergli a disposizione un'interfaccia a prova
d'idiota. Pensavo magari ad una cosa web. Il problema e` che dalle
ricerche fatte fin'ora ho trovato parecchi programmi adatti allo scopo
per generare rapporti di log web e/o statistiche, ma per quanto
riguarda quelli di sistema e in particolare quelli di sicurezza,
nulla.
Qualcuno ha qualche suggerimento?
Andrea

 attivo per una settimana e dopodik comprimendo i piu` vecchi.
Qui ho detto falsita`, viene fatto ruotare ogni settimana e ne passano
26
(quindi 6 mesi) prima di sovrascrivere il log piu` vecchio con uno
piu`
recente.
Comunque a forza di cercare un paio di cose che potrebbero aiutare
le ho trovate: epylog e logtool. Qualcuno ne ha qualche esperienza o
anche di altro?
Probabilmente ci sarebbe anche un modulo di WebMin, ma non ho proprio
voglia di stravolgermi il sistema installando webmin, come anche
probabilmente
ci sarebbero delle cose php mysql, che pero` quando penso alla
sicurezza,
mi fanno un po' rabbrividire (su questa macchina e` attiva solo sshd,
syslog-ng
che accetta log da remoto, ma solo dagli IP consentiti e possibilmente
vorrei basta,
nel senso che farei accedere l'auditore da dove deve, abilitando solo
il suo IP -
anche in ssh si puo` accedere solo da determinati IP; sulla macchina
c'e` un solo
utente non privilegiato e in esercizio solo l'auditore conoscera`
questa password
come la passphrase di crittazione del disco).
Saluti a tutti, ringraziamenti ai rispondenti,
Andrea

 anche di altro?
Io punterei più su epylog, visto che ti permette di avere il risultato
scritto su un file che puoi presentare come una pagina web oppure da
far scaricare via SCP, oppure inviare periodicamente per mail a
qualcuno, eccc
Terrei logtool per un utilizzo locale sulla macchina stessa.


Io invece sarei piu` propenso a dare craniate nel muro o a prendere
una grep
di ferro battuto e fare giustizia di chi mi ha dato questo compito
impossibile:
i log di Windows, che sono la maggioranza, non vengono analizzati/
interpretati,
per cui ho dei report illeggibili di 10ine di MB.
Cosa ho fatto di male per dover lavorare con dei server Windows?!?!?
Probabilmente non sono abbastanza bravo come amministratore di sistema
Linux.
Vabbe' provero` a vedere qualcos'altro (splunk, snare?) o se c'e`
qualche pezzo di
software (a cui sarei per sempre e infinatemente grato) in grado di
trasformare
un log windows salvato in formato testuale in un auth.log UNIX.
Andrea

 nell'uso della tastiera, ma che forse riusciva a cliccare col mouse.
1) chi te l'ha detto?
2) ti sei fidato ciecamente di questa affermazione?
comunque...devi tenere i log in un certo modo, questo dice il 
provvedimento, non come li devi "presentare"...anche se poi tutti i 
vendor ovviamente hanno corredato i loro prodotti di una componente di 
reportistica (che pero' non e' richiesta)

 reportistica (che pero' non e' richiesta)
Si` su questo s'era basato tutto il mio ardito progetto e a tal fine
grep a riga
di comando mi sembrava strumento idoneo. Volendo poi strafare magari
egrep
e perfino agrep.
Tra l'altro mi sto rendendo conto che la richiesta di cui sopra (un sw
che trasformi
i log Windows in log Linux) e` abbastanza malsana e/o malata, nel
senso che
quello che puo` fare e fa il programmino installato sulla macchina
Windows per
tradurre il Security log in file di testo e trasmetterlo a un syslog
di Linux in rete e`
tutto quanto si puo` pretendere.
Chi eventualmente dovrebbe fare il passo successivo per la
reportistica e` appunto
un programma per essa e/o un suo modulo per Windows, dato che i log
che arrivano
di li`, seppur testuali non possono avere un formato diverso da quello
che hanno,
dato che tutti quei dati e in quell'ordine sono quelli sputati da
Windows.
Andrea

 Windows.
Afferrato il concetto! Io mi sto guardando SNARE che *sembra* carino.
Mi permette filtrare anche gli EVENT ID, cosa che i vari NTSyslog e
EL2SL non fanno. Mi danno solo un sacco di informazioni prolisse.

 interrogatore umano con competenze informatiche beluine.
Ribadisco quanto già da altri affermato: non è un tuo problema.
I soggetti interessati hanno l'obbligo di mantenere i log blah blah
blah, non già di pensare a un'interfaccia per i diversamente abili
informaticamente.


E' esattamente cio` che ho fatto presente al mio dirigibile per
iscritto
(era diversamente occupato e non interrompibile), anche perche' se la
norma
in questione avesse senso, allora potrebbe cercare di implementarla
nel migliore
dei modi, ma visto che e` sostanzialmente abbastanza insensata tant'e`
rispettarne la lettera e basta. Vedremo che risposta ottengo.

 Andrea
fatti un CGI perl/python , saranno 3 righe di codice.
tracciati alla mano posso fartelo io.
Bye


Grazie. Sei gentile, pero`, a parte qualche piccolo problema tecnico
in piu`, del tipo che quelli Windows e quelli Linux hanno tracciati
diversi, bisognerebbe in primo luogo capire esattamente che cosa  si
vuole ottenere  e perche', ovvero che dovrebbe farci questa scimmia e
poi rimaneva la valida obiezione del perche' si debba fare tutto cio`,
quale ne sia il fine ultimo se la compiacenza alla "visione" del
dirigibile o la conformita` alla legge (in questo secondo caso, e`
gia` attualmente garantita da quanto in essere).
Comune se dovro` bere l'amaro calice, magari ti chiedo qualche
consiglio/correzione nel farlo.
Andrea