🥇Kuinka työskennellä Zimbra OSE -lokien kanssa

Kõikide toimuva sündmuste logimine on üks tähtsamaid funktsioone igas ettevõtte süsteemis. Logid aitavad lahendada tekkivaid probleeme, auditeerida infotehnoloogia süsteemide tööd ja uurida infosüsteemide turvaincidende. Zimbra OSE genereerib samuti põhjalikke logisid oma tegevusest. Neisse kaitsevad kõik andmed serveri töötluse kohta kuni e-kirjade saatmiseni ja vastuvõtmiseni kasutajate poolt. Siiski on Zimbra OSE genereeritud logide lugemine üsna keeruline ülesanne. Selles artiklis tutvustame teid konkreetse näite põhjal, kuidas lugeda Zimbra OSE logisid ja kuidas muuta need keskseteks.

Kõik kohalikke Zimbra OSE logisid hoitakse kaustas /opt/zimbra/log, logisid saab leida ka failist /var/log/zimbra.log. Kõige olulisem neist on mailbox.log. Selles fikseeritakse kõik toimingud, mis toimuvad meiliserveris. Nende hulka kuuluvad kirjade edastamine, kasutajate autentimise andmed, ebaõnnestunud sisselogimiskatsed ja muud. Kirjed mailbox.log-is on tekstiredaktoririda, milles on toodud sündmuse toimumise aeg, sündmuse tase, sündmuse toimumise käigus toimunud lõime number, kasutajanimi ja tema IP-aadress, samuti sündmuse tekstiline kirjeldus.

Logitaseme tähistab sündmuse mõju määr serveri toimimisele. Vaikimisi kasutatakse 4 sündmuse taset: INFO, WARN, ERROR ja FATAL. Vaatame kõiki tasemeid tõsiduse kasvavas järjekorras.

INFO — selle taseme sündmused on tavaliselt mõeldud Zimbra OSE töö käigus teavitamiseks. Selle taseme sõnumite hulka kuuluvad aruanded postkasti loomise või kustutamise kohta ning nii edasi.
WARNING — selle taseme sündmused teavitavad olukordadest, mis on potentsiaalselt ohtlikud, kuid serveri tööle ei mõju. Näiteks märgitakse tasemega WARN kasutaja ebaõnnestunud sisselogimise katse sõnum.
ERROR — see sündmuste logi tase teavitab kohalikest vigadest, mis ei takista serveri toimimist. Sellisel tasemel võib esineda viga, kus üksiku kasutaja indeksandmed on kahjustatud.
FATAL — selle taseme all märgitakse vead, mille tõttu server ei saa jätkata normaalset toimimist. Näiteks on tasemega FATAL seotud kirje, mis käsitleb andmebaasi ühenduse ebaõnnestumist.

Postiserveri logifail uuendatakse iga päev. Uus logifael kannab alati nime Mailbox.log, samas kui teatud kuupäevade logid sisaldavad nimekirjas kuupäeva ja on arkiveeritud. Näiteks mailbox.log.2020-09-29.tar.gz. See muudab logide varundamise ja logides otsimise palju lihtsamaks.

Süsteemiadministraatori mugavuse huvides sisaldavad kaustas /opt/zimbra/log/ veel teisi logisid. Nendes sisaldub ainult need kirjed, mis on seotud Zimbra OSE konkreetsete elementidega. Näiteks audit.log sisaldab ainult kasutajate autentimise kirjeid, clamd.log sisaldab teavet viirusetõrje töö kohta ja nii edasi. Muide, suurepärane meetod Zimbra OSE serveri kaitsmiseks pahatahtlike eest on serveri kaitse Fail2Baniga, mis töötab just audit.log põhjal. Samuti on hea praktika lisada cron-ülesanne käsu täitmiseks grep -ir „invalid password“ /opt/zimbra/log/audit.log, et iga päev saada teavet ebaõnnestunud sisselogimiskatsete kohta.

Näide sellest, kuidas audit.log'is kuvatakse kaks korda vale parool ja õnnestunud sisselogimine.

Zimbra OSE logid võivad olla äärmiselt kasulikud erinevate kriitiliste tõrgete põhjuste kindlakstegemisel. Hetkel, mil kriitiline viga toimub, ei jää administraatorile tavaliselt aega logide lugemiseks. Serveri töö taastamine on esmatähtis. Siiski, hiljem, kui server on taas töös ja genereerib palju logisid, võib õige kirje leidmine suurtes failides olla keeruline. Selleks, et kiiresti leida vea kohta käiv kirje, piisab, kui teada, millal server taaskäivitati, ja otsida logidest selle ajaga dateeritud kirjet. Eelnev kirje ongi see, mis kajastab toimunud viga. Samuti on võimalik otsida veateadet, kasutades märksõna FATAL.

Zimbra OSE logid aitavad tuvastada ka mitte kriitilisi rikkeid. Näiteks, et leida käitaja erandeid, saab otsida fraasi handler exception. Sageli on käitaja genereeritud vead varustatud kohakäigu jälgimisega, mis selgitab, mis põhjustas erandi tekkimist. Kui esinevad vead, mis on seotud e-kirjade kohaletoimetamisega, on soovitatav alustada otsinguid märksõnaga LmtpServer, ning POP-i või IMAP-i protokollidega seotud vigade otsimiseks saab kasutada märksõnu ImapServer ja Pop3Server.

Logid võivad samuti aidata teaduslike arutelujuhtumite korral. Vaatame ühte konkreetset näidet. 20. septembril saatis üks töötaja kliendile viirusega nakatatud e-kirja. Tulemusena olid kliendi arvutis andmed krüpteeritud. Siiski kinnitab töötaja, et ta ei ole midagi saatnud. Juhtumi uurimise raames küsib ettevõtte turvateenistus süsteemihaldurilt 20. septembril seotud postiserveri logisid, mis on seotud uuritava kasutajaga. Aja kummardamine aitab süsteemihalduril leida vajaliku logifaili, tõmmata vajalikud andmed ja edastada need turvatöötajatele. Nemad omakorda vaatavad need üle ja avastavad, et IP-aadress, millelt see e-kiri saadeti, vastab IP-aadressi kasutaja arvutile. Videovalve kaamera salvestused kinnitasid, et töötaja oli e-kirja saatmise ajal oma töökohal. Need andmed olid piisavad, et süüdistada teda teabe turvalisuse reeglite rikkumises ja sellele järgnes tema vallandamine.

Näide Mailbox.log logifailist ühe konto kannete eraldamiseks

Kõik muutub märgatavalt keerulisemaks, kui jutt on mitme serveriga infrastruktuurist. Kuna logisid kogutakse kohalikult, on nendega töötamine mitme serveriga keskkonnas väga ebamugav, mistõttu tekib vajadus logide kogumise keskustamiseks. Selle saavutamiseks saab seadistada logide kogumise hosti. Eraldi hosti lisamine infrastruktuuri pole hädavajalik. Logide kogumise sõlmena võib kasutada igat postiserverit. Meie puhul on see sõlm Mailstore01.

Sellel serveril peame sisestama järgmised käsud:

sudo su – zimbra
zmcontrol stop
exit
sudo /opt/zimbra/libexec/zmfixperms -e -v

Muuda faili /etc/sysconfig/rsyslog ja seadista parameeter SYSLOGD_OPTIONS="-r -c 2"

Muuda /etc/rsyslog.conf ja eemalda järgmiste ridade kommentaar:
$ModLoad imudp
$UDPServerRun 514

Sisestage järgmised käsud:

sudo /etc/init.d/rsyslog stop
sudo /etc/init.d/rsyslog start
sudo su – zimbra
zmcontrol start
exit
sudo /opt/zimbra/libexec/zmloggerinit
sudo /opt/zimbra/bin/zmsshkeygen
sudo /opt/zimbra/bin/zmupdateauthkeys

Kontrollige, et kõik töötab, kasutades käsku zmprov gacf | grep zimbraLogHostname. Käsku täites peaks kuvama hostinime, mis kogub logisid. Selle muutmiseks peate sisestama käsu zmprov mcf zimbraLogHostname mailstore01.company.ru.

Kõikides teistes infrastruktuuri serverites (LDAP, MTA ja teistes postihoidjates) käivitage käsk zmprov gacf | grep zimbraLogHostname, et näha hostinime, kuhu logid suunatakse. Selle muutmiseks võite samuti sisestada käsu zmprov mcf zimbraLogHostname mailstore01.company.ru.

Igal serveril tuleb sisestada järgmised käsud:

sudo su - zimbra
/opt/zimbra/bin/zmsshkeygen
/opt/zimbra/bin/zmupdateauthkeys
exit
sudo /opt/zimbra/libexec/zmsyslogsetup
sudo service rsyslog restart
sudo su - zimbra
zmcontrol restart

Pärast seda salvestatakse kõik logid teie määratud serverisse, kus neid on mugav vaadata. Samuti kuvatakse Zimbra OSE administraatori konsoolis serverite seisundi teabe ekraanil aktiivne Logger teenus ainult serveris mailstore01.

Teine peavalu administraatori jaoks võib olla konkreetse e-kirja jälgimine. Kuna Zimbra OSE-is läbib e-kiri mitmeid erinevaid sündmusi: viirusetõrje, rämpsposti kontroll ja nii edasi, enne kui see on vastu võetud või saadetud, võib administraatori jaoks olla keeruline jälgida, kus see etapis kaduma läks.

Selle probleemi lahendamiseks saab kasutada spetsiaalset skripti, mille on välja töötanud infotehnoloogia spetsialist Viktor Dukhovni ja mille kasutamist soovitavad Postfixi arendajad. Antud skript liidab logide kirjed teatud protsessi järgi ning selle abil on võimalik kiiresti kuvada kõik kirjed, mis on seotud konkreetse e-kirja saatmisega selle identifikaatori põhjal. Selle töö on testitud kõigis Zimbra OSE versioonides alates 8.7. Toome välja skripti sisu.

#! /usr/bin/perl

use strict;
use warnings;

# Postfix delivery agents
my @agents = qw(discard error lmtp local pipe smtp virtual);

my $instre = qr{(?x)
	A			# Absolute line start
	(?:S+ s+){3} 		# Timestamp, adjust for other time formats
	S+ s+ 		# Hostname
	(postfix(?:-[^/s]+)?)	# Capture instance name stopping before first '/'
	(?:/S+)*		# Optional non-captured '/'-delimited qualifiers
	/			# Final '/' before the daemon program name
	};

my $cmdpidre = qr{(?x)
	G			# Continue from previous match
	(S+)[(d+)]:s+	# command[pid]:
};

my %smtpd;
my %smtp;
my %transaction;
my $i = 0;
my %seqno;

my %isagent = map { ($_, 1) } @agents;

while (<>) {
	next unless m{$instre}ogc; my $inst = $1;
	next unless m{$cmdpidre}ogc; my $command = $1; my $pid = $2;

	if ($command eq "smtpd") {
		if (m{Gconnect from }gc) {
			# Start new log
			$smtpd{$pid}->{"log"} = $_; next;
		}

		$smtpd{$pid}->{"log"} .= $_;

		if (m{G(w+): client=}gc) {
			# Fresh transaction 
			my $qid = "$inst/$1";
			$smtpd{$pid}->{"qid"} = $qid;
			$transaction{$qid} = $smtpd{$pid}->{"log"};
			$seqno{$qid} = ++$i;
			next;
		}

		my $qid = $smtpd{$pid}->{"qid"};
		$transaction{$qid} .= $_
			if (defined($qid) && exists $transaction{$qid});
		delete $smtpd{$pid} if (m{Gdisconnect from}gc);
		next;
	}

	if ($command eq "pickup") {
		if (m{G(w+): uid=}gc) {
			my $qid = "$inst/$1";
			$transaction{$qid} = $_;
			$seqno{$qid} = ++$i;
		}
		next;
	}

	# bounce(8) logs transaction start after cleanup(8) already logged
	# the message-id, so the cleanup log entry may be first
	#
	if ($command eq "cleanup") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		$transaction{$qid} .= $_;
		$seqno{$qid} = ++$i if (! exists $seqno{$qid});
		next;
	}

	if ($command eq "qmgr") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		if (defined($transaction{$qid})) {
			$transaction{$qid} .= $_;
			if (m{Gremoved$}gc) {
				print delete $transaction{$qid}, "n";
			}
		}
		next;
	}

	# Save pre-delivery messages for smtp(8) and lmtp(8)
	#
	if ($command eq "smtp" || $command eq "lmtp") {
		$smtp{$pid} .= $_;

		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $smtp{$pid};
			}
			delete $smtp{$pid};
		}
		next;
	}

	if ($command eq "bounce") {
		if (m{G(w+): .*? notification: (w+)$}gc) {
			my $qid = "$inst/$1";
			my $newid = "$inst/$2";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
			$transaction{$newid} =
				$_ . $transaction{$newid};
			$seqno{$newid} = ++$i if (! exists $seqno{$newid});
		}
		next;
	}

	if ($isagent{$command}) {
		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
		}
		next;
	}
}

# Dump logs of incomplete transactions.
foreach my $qid (sort {$seqno{$a} <=> $seqno{$b}} keys %transaction) {
    print $transaction{$qid}, "n";
}

Skript on kirjutatud Perl'is ja selle käivitamiseks tuleb see salvestada faili collate.pl, muuta se suoritettavaksi ja suorita sitten tiedosto, määrittäen lokitiedosto ja käyttämällä pgrep:ia eristääksesi haetun viestin tunnistustiedot collate.pl /var/log/zimbra.log | pgrep ‘’. Tuloksena on peräkkäinen rivi, jossa on tietoa viestin liikkuvuudesta palvelimella.

# collate.pl /var/log/zimbra.log | pgrep '<20200929101700.user@mail.company.ru>'
Oct 13 10:17:00 mail postfix/pickup[4089]: 4FF14284F45: uid=1034 from=********
Oct 13 10:17:00 mail postfix/cleanup[26776]: 4FF14284F45: message-id=*******
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: from=********, size=1387, nrcpt=1 (queue active)
Oct 13 10:17:00 mail postfix/smtp[7516]: Anonymous TLS connection established to mail.*******[168.*.*.4]:25: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:00 mail postfix/smtp[7516]: 4FF14284F45: to=*********, relay=mail.*******[168.*.*.4]:25, delay=0.25, delays=0.02/0.02/0.16/0.06, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 878833424CF)
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: removed
Oct 13 10:17:07 mail postfix/smtpd[21777]: connect from zimbra.******[168.*.*.4]
Oct 13 10:17:07 mail postfix/smtpd[21777]: Anonymous TLS connection established from zimbra.******[168.*.*.4]: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:08 mail postfix/smtpd[21777]: 0CB69282F4E: client=zimbra.******[168.*.*.4]
Oct 13 10:17:08 mail postfix/cleanup[26776]: 0CB69282F4E: message-id=zimbra.******
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: from=zimbra.******, size=3606, nrcpt=1 (queue active)
Oct 13 10:17:08 mail postfix/virtual[5291]: 0CB69282F4E: to=zimbra.******, orig_to=zimbra.******, relay=virtual, delay=0.03, delays=0.02/0/0/0.01, dsn=2.0.0, status=sent (delivered to maildir)
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: removed

Küsimuste korral, mis on seotud Zextras Suite'iga, võite pöörduda Zextra esindaja Ekaterina Triandafiliidi poole e-posti teel katerina@zextras.com

Allikas: habr.com

Kuidas töötada Zimbra OSE logidega