ज़िम्बरा ओएसई लॉग के साथ कैसे काम करें

सभी घटित घटनाओं की लॉगिंग किसी भी कॉर्पोरेट सिस्टम के सबसे महत्वपूर्ण कार्यों में से एक है। लॉग आपको उभरती समस्याओं को हल करने, सूचना प्रणालियों के संचालन का ऑडिट करने और सूचना सुरक्षा घटनाओं की जांच करने की भी अनुमति देते हैं। ज़िम्ब्रा ओएसई अपने संचालन के विस्तृत लॉग भी रखता है। इनमें सर्वर प्रदर्शन से लेकर उपयोगकर्ताओं द्वारा ईमेल भेजने और प्राप्त करने तक का सारा डेटा शामिल है। हालाँकि, जोम्ब्रा ओएसई द्वारा उत्पन्न लॉग को पढ़ना एक गैर-तुच्छ कार्य है। इस लेख में, एक विशिष्ट उदाहरण का उपयोग करके, हम आपको बताएंगे कि जिम्ब्रा ओएसई लॉग कैसे पढ़ें, साथ ही उन्हें केंद्रीकृत कैसे करें।

ज़िम्ब्रा ओएसई सभी स्थानीय लॉग को /opt/zimbra/log फ़ोल्डर में संग्रहीत करता है, और लॉग /var/log/zimbra.log फ़ाइल में भी पाए जा सकते हैं। इनमें से सबसे महत्वपूर्ण है mailbox.log. यह मेल सर्वर पर होने वाली सभी गतिविधियों को रिकॉर्ड करता है। इनमें ईमेल का प्रसारण, उपयोगकर्ता प्रमाणीकरण डेटा, विफल लॉगिन प्रयास और अन्य शामिल हैं। mailbox.log में प्रविष्टियाँ एक टेक्स्ट स्ट्रिंग होती हैं जिसमें ईवेंट घटित होने का समय, ईवेंट का स्तर, थ्रेड नंबर जिसमें ईवेंट हुआ, उपयोगकर्ता नाम और आईपी पता, साथ ही ईवेंट का टेक्स्ट विवरण शामिल होता है। .

लॉग स्तर सर्वर के संचालन पर घटना के प्रभाव की डिग्री को इंगित करता है। डिफ़ॉल्ट रूप से 4 ईवेंट स्तर होते हैं: जानकारी, चेतावनी, त्रुटि और घातक। आइए गंभीरता के बढ़ते क्रम में सभी स्तरों को देखें।

• जानकारी - इस स्तर के आयोजनों का उद्देश्य आमतौर पर जिम्ब्रा ओएसई की प्रगति के बारे में सूचित करना होता है। इस स्तर के संदेशों में मेलबॉक्स के निर्माण या विलोपन आदि पर रिपोर्ट शामिल होती है।
• चेतावनी - इस स्तर की घटनाएँ उन स्थितियों के बारे में सूचित करती हैं जो संभावित रूप से खतरनाक हैं, लेकिन सर्वर के संचालन को प्रभावित नहीं करती हैं। उदाहरण के लिए, WARN स्तर विफल उपयोगकर्ता लॉगिन प्रयास के बारे में एक संदेश को चिह्नित करता है।
• त्रुटि - लॉग में यह ईवेंट स्तर एक त्रुटि की घटना के बारे में सूचित करता है जो प्रकृति में स्थानीय है और सर्वर के संचालन में हस्तक्षेप नहीं करती है। यह स्तर एक त्रुटि को चिह्नित कर सकता है जिसमें एक व्यक्तिगत उपयोगकर्ता का सूचकांक डेटा दूषित हो गया है।
• घातक - यह स्तर उन त्रुटियों को इंगित करता है जिसके कारण सर्वर सामान्य रूप से काम करना जारी नहीं रख सकता है। उदाहरण के लिए, FATAL स्तर एक रिकॉर्ड के लिए होगा जो DBMS से जुड़ने में असमर्थता को दर्शाता है।

मेल सर्वर लॉग फ़ाइल हर दिन अपडेट की जाती है। फ़ाइल के नवीनतम संस्करण का नाम हमेशा Mailbox.log होता है, जबकि किसी निश्चित दिनांक के लॉग के नाम में एक दिनांक होती है और वे संग्रह में समाहित होते हैं। उदाहरण के लिए mailbox.log.2020-09-29.tar.gz. इससे गतिविधि लॉग का बैकअप लेना और लॉग के माध्यम से खोजना बहुत आसान हो जाता है।

सिस्टम प्रशासक की सुविधा के लिए, /opt/zimbra/log/ फ़ोल्डर में अन्य लॉग होते हैं। उनमें केवल वे प्रविष्टियाँ शामिल हैं जो विशिष्ट ज़िम्ब्रा ओएसई तत्वों से संबंधित हैं। उदाहरण के लिए, ऑडिट.लॉग में केवल उपयोगकर्ता प्रमाणीकरण के बारे में रिकॉर्ड होते हैं, क्लैमड.लॉग में एंटीवायरस के संचालन के बारे में डेटा होता है, इत्यादि। वैसे, जोम्ब्रा ओएसई सर्वर को घुसपैठियों से बचाने का एक उत्कृष्ट तरीका है Fail2Ban का उपयोग करके सर्वर सुरक्षा, जो सिर्फ ऑडिट.लॉग के आधार पर काम करता है। कमांड को निष्पादित करने के लिए क्रॉन कार्य जोड़ना भी एक अच्छा अभ्यास है grep -ir "अमान्य पासवर्ड" /opt/zimbra/log/audit.logदैनिक लॉगिन विफलता जानकारी प्राप्त करने के लिए।

इसका एक उदाहरण कि कैसे ऑडिट.लॉग दो बार गलत तरीके से दर्ज किया गया पासवर्ड और एक सफल लॉगिन प्रयास दिखाता है।

जिम्ब्रा ओएसई में लॉग विभिन्न महत्वपूर्ण विफलताओं के कारणों की पहचान करने में बेहद उपयोगी हो सकते हैं। उस समय जब कोई गंभीर त्रुटि होती है, तो व्यवस्थापक के पास आमतौर पर लॉग पढ़ने का समय नहीं होता है। सर्वर को यथाशीघ्र बहाल करना आवश्यक है। हालाँकि, बाद में, जब सर्वर वापस आ जाता है और बहुत सारे लॉग उत्पन्न करता है, तो बड़ी फ़ाइल में आवश्यक प्रविष्टि ढूँढना मुश्किल हो सकता है। किसी त्रुटि रिकॉर्ड को शीघ्रता से ढूंढने के लिए, यह जानना पर्याप्त है कि सर्वर किस समय पुनरारंभ हुआ था और इस समय से डेटिंग लॉग में एक प्रविष्टि ढूंढें। पिछली प्रविष्टि हुई त्रुटि का रिकॉर्ड होगी। आप FATAL कीवर्ड खोजकर भी त्रुटि संदेश पा सकते हैं।

ज़िम्ब्रा ओएसई लॉग आपको गैर-महत्वपूर्ण विफलताओं की पहचान करने की भी अनुमति देते हैं। उदाहरण के लिए, हैंडलर अपवाद खोजने के लिए, आप हैंडलर अपवाद खोज सकते हैं। अक्सर, हैंडलर द्वारा उत्पन्न त्रुटियां एक स्टैक ट्रेस के साथ होती हैं जो बताती है कि अपवाद का कारण क्या है। मेल डिलीवरी में त्रुटियों के मामले में, आपको अपनी खोज LmtpServer कीवर्ड से शुरू करनी चाहिए, और POP या IMAP प्रोटोकॉल से संबंधित त्रुटियों की खोज के लिए, आप ImapServer और Pop3Server कीवर्ड का उपयोग कर सकते हैं।

सूचना सुरक्षा घटनाओं की जांच करते समय लॉग भी मदद कर सकते हैं। आइए एक विशिष्ट उदाहरण देखें. 20 सितंबर को, कर्मचारियों में से एक ने एक ग्राहक को एक वायरस-संक्रमित पत्र भेजा। परिणामस्वरूप, क्लाइंट के कंप्यूटर पर डेटा एन्क्रिप्ट किया गया था। हालाँकि, कर्मचारी शपथ लेता है कि उसने कुछ भी नहीं भेजा। घटना की जांच के हिस्से के रूप में, एंटरप्राइज़ सुरक्षा सेवा सिस्टम प्रशासक से जांच किए जा रहे उपयोगकर्ता से जुड़े 20 सितंबर के लिए मेल सर्वर लॉग का अनुरोध करती है। टाइम स्टैम्प के लिए धन्यवाद, सिस्टम प्रशासक आवश्यक लॉग फ़ाइल ढूंढता है, आवश्यक जानकारी निकालता है और इसे सुरक्षा विशेषज्ञों को स्थानांतरित करता है। वे, बदले में, इसे देखते हैं और पाते हैं कि जिस आईपी पते से यह पत्र भेजा गया था वह उपयोगकर्ता के कंप्यूटर के आईपी पते से मेल खाता है। सीसीटीवी फुटेज से पुष्टि हुई कि पत्र भेजे जाने के समय कर्मचारी अपने कार्यस्थल पर था। यह डेटा उन पर सूचना सुरक्षा नियमों के उल्लंघन का आरोप लगाने और उन्हें नौकरी से निकालने के लिए पर्याप्त था। 

Mailbox.log लॉग से किसी एक खाते के बारे में रिकॉर्ड एक अलग फ़ाइल में निकालने का एक उदाहरण

जब मल्टी-सर्वर इंफ्रास्ट्रक्चर की बात आती है तो सब कुछ बहुत अधिक जटिल हो जाता है। चूंकि लॉग स्थानीय रूप से एकत्र किए जाते हैं, इसलिए मल्टी-सर्वर इंफ्रास्ट्रक्चर में उनके साथ काम करना बहुत असुविधाजनक है और इसलिए लॉग के संग्रह को केंद्रीकृत करने की आवश्यकता है। यह लॉग एकत्र करने के लिए एक होस्ट स्थापित करके किया जा सकता है। बुनियादी ढांचे में एक समर्पित होस्ट जोड़ने की कोई विशेष आवश्यकता नहीं है। कोई भी मेल सर्वर लॉग एकत्रित करने के लिए नोड के रूप में कार्य कर सकता है। हमारे मामले में, यह Mailstore01 नोड होगा।

इस सर्वर पर हमें निम्नलिखित कमांड दर्ज करने की आवश्यकता है:

sudo su – zimbra 
zmcontrol stop
exit
sudo /opt/zimbra/libexec/zmfixperms -e -v

/etc/sysconfig/rsyslog फ़ाइल संपादित करें, और SYSLOGD_OPTIONS=”-r -c 2″ सेट ​​करें

/etc/rsyslog.conf को संपादित करें और निम्नलिखित पंक्तियों पर टिप्पणी हटाएँ:
$ModLoad imudp
$UDPServerRun 514

निम्नलिखित कमांड दर्ज करें:

sudo /etc/init.d/rsyslog stop
sudo /etc/init.d/rsyslog start
sudo su – zimbra
zmcontrol start
exit
sudo /opt/zimbra/libexec/zmloggerinit
sudo /opt/zimbra/bin/zmsshkeygen
sudo /opt/zimbra/bin/zmupdateauthkeys

आप zmprov gacf | कमांड का उपयोग करके जांच सकते हैं कि सब कुछ काम कर रहा है grep zimbraLogHostname. कमांड निष्पादित करने के बाद, लॉग एकत्र करने वाले होस्ट का नाम प्रदर्शित किया जाना चाहिए। इसे बदलने के लिए, आपको zmprov mcf zimbraLogHostname mailstore01.company.ru कमांड दर्ज करना होगा।

अन्य सभी इंफ्रास्ट्रक्चर सर्वर (एलडीएपी, एमटीए और अन्य मेल स्टोर) पर, उस होस्ट का नाम देखने के लिए zmprov gacf |grep zimbraLogHostname कमांड चलाएं, जिस पर लॉग भेजे गए हैं। इसे बदलने के लिए, आप कमांड zmprov mcf zimbraLogHostname mailstore01.company.ru भी दर्ज कर सकते हैं

आपको प्रत्येक सर्वर पर निम्नलिखित आदेश भी दर्ज करने होंगे:

sudo su - zimbra
/opt/zimbra/bin/zmsshkeygen
/opt/zimbra/bin/zmupdateauthkeys
exit
sudo /opt/zimbra/libexec/zmsyslogsetup
sudo service rsyslog restart
sudo su - zimbra
zmcontrol restart

इसके बाद, सभी लॉग आपके द्वारा निर्दिष्ट सर्वर पर रिकॉर्ड किए जाएंगे, जहां उन्हें आसानी से देखा जा सकता है। साथ ही, ज़िम्ब्रा ओएसई प्रशासक कंसोल में, सर्वर की स्थिति के बारे में जानकारी वाली स्क्रीन पर, केवल मेलस्टोर01 सर्वर के लिए चल रही लॉगर सेवा प्रदर्शित की जाएगी।

किसी व्यवस्थापक के लिए एक और सिरदर्द किसी विशिष्ट ईमेल पर नज़र रखना हो सकता है। चूंकि जिम्ब्रा ओएसई में ईमेल एक साथ कई अलग-अलग घटनाओं से गुजरते हैं: स्वीकार किए जाने या भेजे जाने से पहले एंटीवायरस, एंटीस्पैम आदि द्वारा स्कैन करना, व्यवस्थापक के लिए, यदि ईमेल नहीं आता है, तो यह पता लगाना काफी समस्याग्रस्त हो सकता है कि किस चरण में यह खो गया था.

इस समस्या को हल करने के लिए, आप एक विशेष स्क्रिप्ट का उपयोग कर सकते हैं, जिसे सूचना सुरक्षा विशेषज्ञ विक्टर डुखोवनी द्वारा विकसित किया गया था और पोस्टफ़िक्स डेवलपर्स द्वारा उपयोग के लिए अनुशंसित किया गया था। यह स्क्रिप्ट एक विशिष्ट प्रक्रिया के लिए लॉग से प्रविष्टियों को जोड़ती है और इसके कारण, आपको किसी विशेष पत्र को उसके पहचानकर्ता के आधार पर भेजने से जुड़ी सभी प्रविष्टियों को तुरंत प्रदर्शित करने की अनुमति देती है। इसके कार्य का परीक्षण 8.7 से प्रारंभ करके ज़िम्ब्रा ओएसई के सभी संस्करणों पर किया गया है। यहाँ स्क्रिप्ट का पाठ है.

#! /usr/bin/perl

use strict;
use warnings;

# Postfix delivery agents
my @agents = qw(discard error lmtp local pipe smtp virtual);

my $instre = qr{(?x)
	A			# Absolute line start
	(?:S+ s+){3} 		# Timestamp, adjust for other time formats
	S+ s+ 		# Hostname
	(postfix(?:-[^/s]+)?)	# Capture instance name stopping before first '/'
	(?:/S+)*		# Optional non-captured '/'-delimited qualifiers
	/			# Final '/' before the daemon program name
	};

my $cmdpidre = qr{(?x)
	G			# Continue from previous match
	(S+)[(d+)]:s+	# command[pid]:
};

my %smtpd;
my %smtp;
my %transaction;
my $i = 0;
my %seqno;

my %isagent = map { ($_, 1) } @agents;

while (<>) {
	next unless m{$instre}ogc; my $inst = $1;
	next unless m{$cmdpidre}ogc; my $command = $1; my $pid = $2;

	if ($command eq "smtpd") {
		if (m{Gconnect from }gc) {
			# Start new log
			$smtpd{$pid}->{"log"} = $_; next;
		}

		$smtpd{$pid}->{"log"} .= $_;

		if (m{G(w+): client=}gc) {
			# Fresh transaction 
			my $qid = "$inst/$1";
			$smtpd{$pid}->{"qid"} = $qid;
			$transaction{$qid} = $smtpd{$pid}->{"log"};
			$seqno{$qid} = ++$i;
			next;
		}

		my $qid = $smtpd{$pid}->{"qid"};
		$transaction{$qid} .= $_
			if (defined($qid) && exists $transaction{$qid});
		delete $smtpd{$pid} if (m{Gdisconnect from}gc);
		next;
	}

	if ($command eq "pickup") {
		if (m{G(w+): uid=}gc) {
			my $qid = "$inst/$1";
			$transaction{$qid} = $_;
			$seqno{$qid} = ++$i;
		}
		next;
	}

	# bounce(8) logs transaction start after cleanup(8) already logged
	# the message-id, so the cleanup log entry may be first
	#
	if ($command eq "cleanup") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		$transaction{$qid} .= $_;
		$seqno{$qid} = ++$i if (! exists $seqno{$qid});
		next;
	}

	if ($command eq "qmgr") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		if (defined($transaction{$qid})) {
			$transaction{$qid} .= $_;
			if (m{Gremoved$}gc) {
				print delete $transaction{$qid}, "n";
			}
		}
		next;
	}

	# Save pre-delivery messages for smtp(8) and lmtp(8)
	#
	if ($command eq "smtp" || $command eq "lmtp") {
		$smtp{$pid} .= $_;

		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $smtp{$pid};
			}
			delete $smtp{$pid};
		}
		next;
	}

	if ($command eq "bounce") {
		if (m{G(w+): .*? notification: (w+)$}gc) {
			my $qid = "$inst/$1";
			my $newid = "$inst/$2";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
			$transaction{$newid} =
				$_ . $transaction{$newid};
			$seqno{$newid} = ++$i if (! exists $seqno{$newid});
		}
		next;
	}

	if ($isagent{$command}) {
		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
		}
		next;
	}
}

# Dump logs of incomplete transactions.
foreach my $qid (sort {$seqno{$a} <=> $seqno{$b}} keys %transaction) {
    print $transaction{$qid}, "n";
}

स्क्रिप्ट पर्ल में लिखी गई है और इसे चलाने के लिए आपको इसे एक फ़ाइल में सहेजना होगा कोलाट.पीएल, इसे निष्पादन योग्य बनाएं, और फिर लॉग फ़ाइल को निर्दिष्ट करके फ़ाइल चलाएं और जिस पत्र को आप ढूंढ रहे हैं उसकी पहचान जानकारी निकालने के लिए pgrep का उपयोग करें Collate.pl /var/log/zimbra.log | पीजीआरईपी'[ईमेल संरक्षित]>'. परिणाम सर्वर पर पत्र की गति के बारे में जानकारी वाली पंक्तियों का अनुक्रमिक आउटपुट होगा।

# collate.pl /var/log/zimbra.log | pgrep '<[email protected]>'
Oct 13 10:17:00 mail postfix/pickup[4089]: 4FF14284F45: uid=1034 from=********
Oct 13 10:17:00 mail postfix/cleanup[26776]: 4FF14284F45: message-id=*******
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: from=********, size=1387, nrcpt=1 (queue active)
Oct 13 10:17:00 mail postfix/smtp[7516]: Anonymous TLS connection established to mail.*******[168.*.*.4]:25: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:00 mail postfix/smtp[7516]: 4FF14284F45: to=*********, relay=mail.*******[168.*.*.4]:25, delay=0.25, delays=0.02/0.02/0.16/0.06, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 878833424CF)
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: removed
Oct 13 10:17:07 mail postfix/smtpd[21777]: connect from zimbra.******[168.*.*.4]
Oct 13 10:17:07 mail postfix/smtpd[21777]: Anonymous TLS connection established from zimbra.******[168.*.*.4]: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:08 mail postfix/smtpd[21777]: 0CB69282F4E: client=zimbra.******[168.*.*.4]
Oct 13 10:17:08 mail postfix/cleanup[26776]: 0CB69282F4E: message-id=zimbra.******
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: from=zimbra.******, size=3606, nrcpt=1 (queue active)
Oct 13 10:17:08 mail postfix/virtual[5291]: 0CB69282F4E: to=zimbra.******, orig_to=zimbra.******, relay=virtual, delay=0.03, delays=0.02/0/0/0.01, dsn=2.0.0, status=sent (delivered to maildir)
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: removed

ज़ेक्स्ट्रास सुइट से संबंधित सभी प्रश्नों के लिए, आप ज़ेक्स्ट्रास के प्रतिनिधि एकातेरिना ट्रायंडाफिलिडी से ई-मेल द्वारा संपर्क कर सकते हैं। [ईमेल संरक्षित]

स्रोत: www.habr.com