Auditando Compartilhamentos com Loganalyser + Rsyslog.  
Autor: Kembolle Amilkar | Publicado: 2016-01-21T20:41:00-08:00




Hello modafokers!!!
Hoje vou resumir neste post,uma forma simples de realizar um centralizador de log's e filtrando acessos a compartilhamentos seja Window$ ou linuX :) Para isso vamos imaginar o seguinte cenário onde nosso Objetivo é receber LOG'S de acesso de uma determinada rede ou Estação de Trabalho, consequentemente podendo filtrar pesquisa a outros recursos da maquina em nosso caso compartilhamento.

 
&nbsp;Laboratorio:
* Servidor linux: Fileserver ( Servidor de Arquivos Samba )
* Servidor linux: SRV-Auditoria ( Loganalyser+Mysql+PHP+Rsyslog)
* Clientes Window$ e Linux.
DevOp's:
Para estudar o recebimento dos log's &nbsp;foi realizado a seguinte organização lógica.
Servidor Auditoria: 192.168.25.9
Servidor de Arquivos Samba: 192.168.25.9
Clientes Maquinas: 192.168.25.0/24&nbsp; 

Obs: esta rece foi montada sem regras de FIREWALL, abaixo vou listar as portas que são importantes para determinados serviços se comunicarem, caso possua um Fw em sua rede deverá realizar a abertura das seguintes portas: http: 80 / Mysql: 3306 / smb: 445 / Rsyslog: 514. firmeza? &nbsp;depois que você conferir regras de comunicação entre as maquinas, sem delongas &nbsp;a ordem de execução das atividades:

Obs: em meu caso coloquei o servidor de log (loganalyser) no mesmo servidor onde se encontra os arquivos, mas isto fica a seu critério ok?&nbsp;:)&nbsp;
1- Instalando Servidor LAMP
No MEU CASO optei pela distribuição Debian, onde fiz a instalação do LAMP&nbsp;,&nbsp;SAMBA&nbsp;,Rsyslog no mesmo servidor.&nbsp;
2-&nbsp;Instalando&nbsp;SAMBA
em seu servidor crie dentro da "home" &nbsp;uma pasta MAE chamada Empresa e dentro dela insira 2 setores &nbsp;administrativo e outro o financeiro. a Pasta Empresa será diretório matriz para organização das subpastas.&nbsp;

Grupos: grupo de permissão de acesso a pasta.
Usuarios: &nbsp;serão usuarios a acessar compartilhamento. 
Setores: os setores da empresa aqui serão as pastas compartilhadas.




no rootshell do servidor digite:
$ Groupadd &nbsp;administrativo
$ Groupadd &nbsp;financeiro 





no rootshell do servidor digite:
$ adduser kembolle 
$&nbsp;adduser&nbsp;Cliente &nbsp;&nbsp;



agora temos que criar os 2 usuarios no samba tambem para acessar os compartilhamentos.



no rootshell do servidor digite:
$ smbpasswd -a kembolle 
$ smbpasswd -a cliente &nbsp;





agora vamos setar permissões de acesso onde kembolle acessa a pasta financeira e o cliente a pasta administrativa . a lógica é a seguinte:&nbsp;


&nbsp;chown [opção] [usuário dono].[grupo que acessa] [diretório/pasta]&nbsp;





no rootshell do servidor digite:
$&nbsp;chown kembolle.administrativo&nbsp;/home/empresa/administrativo
$ chown cliente.financeiro /home/empresa/financeiro






então temos administrativo e financeiro criados!!!! Homes, print$ , public são padrões dentro de smb.conf que você pode desabilita-los.&nbsp;












agora com os compartilhamentos funcionando perfeitamente e testado a permissão dos usuarios vamos realizar a configuração do rsyslog para monitorar este diretório compartilhado neste momento temos um Jump the CAT :D&nbsp;






" o parâmetro &nbsp; &nbsp;vfs object = full_audit deve ser inserido na propriedade do compartilhamento em SMB.conf "&nbsp;
por exemplo:&nbsp;




# Compartilhamentos Empresa .&nbsp;

[Financeiro]

&nbsp; &nbsp; comment = Financeiro

&nbsp; &nbsp; path = /home/empresa/financeiro

&nbsp; &nbsp; read only = no

&nbsp; &nbsp; browseable = yes

&nbsp; &nbsp; writeable = yes

&nbsp; &nbsp; valid users = @kembolle

&nbsp; &nbsp; force group = financeiro

&nbsp; &nbsp; force create mode = 0770

&nbsp; &nbsp; force directory mode = 0770

&nbsp; &nbsp; vfs object = full_audit


firmeza? se quiser conhecer mais sobre o recurso full_audit &nbsp;e demais configurações avançadas no samba,você pode consultar aqui para maiores informações. :)&nbsp;




3-&nbsp;Instalando o&nbsp;RSYSLOG&nbsp;

Antes de mais nada instale o pacote chamado&nbsp;rsyslog-mysql, que irá solicitar integração com SGDB syslog criando 2 tabelas :&nbsp;SystemEvents,&nbsp;SystemEventsProperties conforme print abaixo:&nbsp;












no rootshell do servidor digite:
$&nbsp;sudo aptitude install&nbsp;rsyslog-mysql&nbsp;








Um ótimo tutorial explicando a instalação do Rsyslog server é a do Tecadmi.net&nbsp;é necessario para que o Loganalyser receba os as mensagens você habilitar as portas e serviços do recurso que se encontra em /etc/rsyslog.conf .


# provides UDP syslog reception
# $ModLoad imudp
#&nbsp;$UDPServerRun 514



# provides TCP syslog reception


$ModLoad imtcp

$InputTCPServerRun 514


#&nbsp;$ModLoad imudp
#&nbsp;$UDPServerRun 514


APAGUE as tralhas em vermelho #, e insira as linhas abaixo:

# Auditoria enviada para &nbsp;loganalyser
vfs objects = full_audit
full_audit:success = open, opendir, write, unlink, rename, mkdir, rmdir, chmod, chown
full_audit:prefix = %u|%I|%S
full_audit:failure = none
full_audit:facility = local5
full_audit:priority = notice


# Auditoria SMB

local5.notice /var/log/samba-full_audit.log

e por fim, onde tiver &nbsp;#*.*;auth,authpriv.none&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; -/var/log/syslog &nbsp;


mude para&nbsp;*.*;local5,auth,authpriv.none&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; -/var/log/syslog


&nbsp;e salve o arquivo rsyslog.conf. pronto passo é reiniciar o serviço.&nbsp;







no rootshell do servidor digite:
$&nbsp;service rsyslog restart
$service rsyslog status






2º Instalando e configurando Loganalyser&nbsp;
Melhor tutorial que achei sobre a instalação do Loganalyser, é a do Tecadmi.net&nbsp;.&nbsp;
neste ponto se você fez a instalação corretamente do&nbsp;Loganalyser com certeza você irá cair no painel de administração e já conseguirá visualizar os Log's sendo recebidos.&nbsp;


Print:&nbsp;Em nosso exemplo temos uma estação de trabalho windows acessando compartilhamento linux e os dados sendo registrados pelo loganalyser.

Sem Usuarios:&nbsp;


Com Usuarios:&nbsp;



Em um proximo tutorial vou apresentar como receber log's de estações de trabalho windows com o Loganalyser. forte abraço []'s (:&nbsp;
Fontes:&nbsp;
* http://www.profissionaisti.com.br/2015/09/auditoria-e-rotacionamento-de-logs-em-servidores-de-arquivos-linux/
* http://wiki.fabriciovc.eti.br/doku.php/linux/artigos/samba-fullaudit
* http://rareboucas.blogspot.com.br/2010/10/auditoria-de-acesso-no-samba-no-linux.html