https://docs.mitigator.ru/v26.08/tags/syslog/ Hugo ru https://docs.mitigator.ru/v26.08/integrate/syslogng/ Mon, 01 Jan 0001 00:00:00 +0000 https://docs.mitigator.ru/v26.08/integrate/syslogng/ Настроив syslog-ng, а также трансляцию syslog на стороне MITIGATOR, можно выполнять произвольные скрипты: скрипты блокировки, переключение защиты, переключение маршрутов BGP и так далее. Формат записи syslog. Настройка syslog-ng Конфигурация записывается в /etc/syslog-ng/conf.d/mitigator.conf. Параметры приема сообщений (протокол, порт) должны соответствовать настройкам в web-интерфейсе MITIGATOR. Опция expect-hostname необходима, так как имя хоста указывается в сообщениях. source s_udp { syslog(transport("udp") flags(expect-hostname)); }; Все сообщения MITIGATOR имеют одинаковое имя программы, по которому можно их отфильтровать: https://docs.mitigator.ru/v26.08/integrate/syslog-format/ Mon, 01 Jan 0001 00:00:00 +0000 https://docs.mitigator.ru/v26.08/integrate/syslog-format/ Формат записи журнала событий в syslog Каждая запись журнала событий MITIGATOR состоит из префикса BIFIT_Mitigator[] и содержательной части, описывающей событие. Содержательная часть имеет формат JSON и включает три обязательных поля и ряд необязательных, состав которых зависит от типа события. Все возможные поля описаны в таблице Поля записи журнала событий. Все системные события перечислены в таблице События. Для ряда событий предусмотрено расширение формата описания. Для таких событий в записи журнала будет присутствовать поле «custom», содержащее JSON-объект со специфичным для события набором полей. Перечень таких типов событий и состав полей приведены в разделе Расширенные поля. https://docs.mitigator.ru/v26.08/integrate/fail2ban/ Mon, 01 Jan 0001 00:00:00 +0000 https://docs.mitigator.ru/v26.08/integrate/fail2ban/ Описана настройка следующей схемы защиты web-сервера: Nginx модулем ngx_http_limit_req выявляет превышение лимита запросов; fail2ban анализирует error.log, куда Nginx пишет о превышениях; IP добавляется в список заблокированных через MITIGATOR API. Клиент MITIGATOR API Имеется скрипт mitigator.py (скачать) для управления MITIGATOR, в частности, для временной блокировки IP-адреса через MITIGATOR API. При необходимости скрипт можно доработать самостоятельно для совершения любых других действий на MITIGATOR. Скрипт использует только стандартные модули, работает с Python 2.7+ и Python 3. https://docs.mitigator.ru/v26.08/install/advanced/syslog-host/ Mon, 01 Jan 0001 00:00:00 +0000 https://docs.mitigator.ru/v26.08/install/advanced/syslog-host/ Для изменения имени хоста отправителя syslog сообщений следует переопределить hostname, для чего: Создать YML‑файл docker-compose.syslog.yml со следующим содержимым: services: gateway: hostname: "имя хоста отправителя" Добавить docker-compose.syslog.yml в список COMPOSE_FILE в .env: sed -i 's/^COMPOSE_FILE=\(.*\)$/COMPOSE_FILE=\1:docker-compose.syslog.yml/' .env Перезапустить MITIGATOR: docker-compose down && docker-compose up -d Похожие статьи Работа через прокси Собственный сертификат TLS Ansible Анализатор логов Web-сервера Блокировка IP на MITIGATOR с Nginx и fail2ban Виртуальная машина Выполнение скриптов по событию журнала Замена Favicon Подготовка системы Установка MITIGATOR https://docs.mitigator.ru/v26.08/integrate/log-analyzer/ Mon, 01 Jan 0001 00:00:00 +0000 https://docs.mitigator.ru/v26.08/integrate/log-analyzer/ Информация Функциональность анализа логов лицензируется отдельно. Logan — это функциональность MITIGATOR для анализа логов защищаемого Web-сервера (HTTP, HTTPS), выявления аномалий и атакующих адресов. Защищаемые серверы отправляют свои логи на Logan, используя syslog RFC 3164 (UDP, TCP). Logan может располагаться на том же сервере, что и остальной MITIGATOR, или отдельно. Logan на экземпляре MITIGATOR Дальнейшие шаги предполагают, что экземпляр MITIGATOR уже установлен. В противном случае предварительно выполните установку одним из способов.