Zimbra OSE ログの操作方法

発生したすべてのイベントのログは、企業システムの最も重要な機能の XNUMX つです。 ログを使用すると、新たな問題を解決したり、情報システムの運用を監査したり、情報セキュリティ インシデントを調査したりすることができます。 Zimbra OSE は、その操作の詳細なログも保持します。 これらには、サーバーのパフォーマンスからユーザーによる電子メールの送受信に至るまで、すべてのデータが含まれます。 ただし、Zimbra OSE によって生成されたログを読み取るのは、かなり簡単な作業ではありません。 この記事では、具体的な例を使用して、Zimbra OSE ログの読み取り方法と、ログを一元化する方法を説明します。

Zimbra OSE はすべてのローカル ログを /opt/zimbra/log フォルダーに保存し、ログは /var/log/zimbra.log ファイルにも保存されます。 これらの中で最も重要なものは mailbox.log です。 メールサーバー上で発生するすべてのアクションを記録します。 これには、電子メールの送信、ユーザー認証データ、ログイン試行の失敗などが含まれます。 mailbox.log のエントリは、イベントの発生時刻、イベントのレベル、イベントが発生したスレッド番号、ユーザー名と IP アドレス、およびイベントのテキスト説明を含むテキスト文字列です。 。

ログレベルは、イベントがサーバーの動作に及ぼす影響の程度を示します。 デフォルトでは、INFO、WARN、ERROR、FATAL の 4 つのイベント レベルがあります。 すべてのレベルを重大度の昇順に見てみましょう。

• INFO - このレベルのイベントは通常、Zimbra OSE の進行状況を知らせることを目的としています。 このレベルのメッセージには、メールボックスの作成または削除に関するレポートなどが含まれます。
• 警告 - このレベルのイベントは、潜在的に危険な状況について通知しますが、サーバーの動作には影響しません。 たとえば、WARN レベルは、ユーザーのログイン試行の失敗に関するメッセージをマークします。
• ERROR - ログ内のこのイベント レベルは、本質的にローカルであり、サーバーの動作を妨げないエラーの発生を通知します。 このレベルでは、個々のユーザーのインデックス データが破損したエラーにフラグを立てることができます。
• FATAL - このレベルは、サーバーが正常に動作し続けることができないエラーを示します。 たとえば、FATAL レベルは、DBMS に接続できないことを示すレコードになります。

メールサーバーのログファイルは毎日更新されます。 ファイルの最新バージョンの名前は常に Mailbox.log ですが、特定の日付のログは名前に日付が含まれており、アーカイブに含まれます。 たとえば、mailbox.log.2020-09-29.tar.gz です。 これにより、アクティビティ ログのバックアップやログの検索がはるかに簡単になります。

システム管理者の便宜を図るため、/opt/zimbra/log/ フォルダーには他のログが含まれています。 これらには、特定の Zimbra OSE 要素に関連するエントリのみが含まれます。 たとえば、audit.log にはユーザー認証に関するレコードのみが含まれ、clamd.log にはウイルス対策の動作に関するデータなどが含まれます。 ところで、Zimbra OSE サーバーを侵入者から保護する優れた方法は次のとおりです。 Fail2Ban を使用したサーバー保護これは、audit.log に基づいて機能するだけです。 コマンドを実行する cron タスクを追加することもお勧めします。 grep -ir 「無効なパスワード」 /opt/zimbra/log/audit.log毎日のログイン失敗情報を受信します。

Audit.log に、パスワードが XNUMX 回間違って入力されたことと、ログイン試行が成功したことがどのように表示されるかの例を示します。

Zimbra OSE のログは、さまざまな重大な障害の原因を特定するのに非常に役立ちます。 重大なエラーが発生した時点では、通常、管理者にはログを読む時間がありません。 できるだけ早くサーバーを復旧する必要があります。 ただし、後でサーバーがバックアップされて大量のログが生成されると、大きなファイル内で必要なエントリを見つけるのが困難になることがあります。 エラー記録をすぐに見つけるには、サーバーが再起動された時刻を知り、その時刻以降のログのエントリを見つけるだけで十分です。 前のエントリは、発生したエラーの記録になります。 キーワード「FATAL」を検索してエラー メッセージを見つけることもできます。

Zimbra OSE ログを使用すると、重大ではない障害を特定することもできます。 たとえば、ハンドラー例外を見つけるには、ハンドラー例外を検索します。 多くの場合、ハンドラーによって生成されたエラーには、例外の原因を説明するスタック トレースが伴います。 メール配信でエラーが発生した場合は、LmtpServer キーワードで検索を開始する必要があります。POP または IMAP プロトコルに関連するエラーを検索するには、ImapServer および Pop3Server キーワードを使用できます。

ログは、情報セキュリティ インシデントを調査するときにも役立ちます。 具体的な例を見てみましょう。 20月20日、従業員のXNUMX人がウイルスに感染した手紙を顧客に送った。 その結果、クライアントのコンピュータ上のデータは暗号化されました。 しかし、従業員は何も送っていないことを誓います。 インシデントの調査の一環として、エンタープライズ セキュリティ サービスはシステム管理者に、調査対象のユーザーに関連する XNUMX 月 XNUMX 日のメール サーバー ログを要求します。 タイムスタンプのおかげで、システム管理者は必要なログ ファイルを見つけて必要な情報を抽出し、セキュリティ専門家に転送します。 次に、彼らはそれを調べて、この手紙の送信元の IP アドレスがユーザーのコンピュータの IP アドレスに一致することを発見します。 監視カメラの映像により、手紙が送られたときに従業員が職場にいたことが確認された。 このデータは、情報セキュリティ規則に違反したとして彼を告発し、解雇するのに十分でした。 

いずれかのアカウントに関するレコードを Mailbox.log ログから別のファイルに抽出する例

マルチサーバーインフラストラクチャとなると、すべてがさらに複雑になります。 ログはローカルに収集されるため、マルチサーバー インフラストラクチャでのログの操作は非常に不便であるため、ログの収集を一元化する必要があります。 これは、ログを収集するようにホストを設定することで実行できます。 専用のホストをインフラストラクチャに追加する必要は特にありません。 どのメール サーバーもログを収集するノードとして機能できます。 この場合、これは Mailstore01 ノードになります。

このサーバーでは、以下のコマンドを入力する必要があります。

sudo su – zimbra 
zmcontrol stop
exit
sudo /opt/zimbra/libexec/zmfixperms -e -v

/etc/sysconfig/rsyslog ファイルを編集し、SYSLOGD_OPTIONS=”-r -c 2″ を設定します。

/etc/rsyslog.conf を編集し、次の行のコメントを解除します。
$ModLoad imudp
$UDPServerRun 514

次のコマンドを入力します。

sudo /etc/init.d/rsyslog stop
sudo /etc/init.d/rsyslog start
sudo su – zimbra
zmcontrol start
exit
sudo /opt/zimbra/libexec/zmloggerinit
sudo /opt/zimbra/bin/zmsshkeygen
sudo /opt/zimbra/bin/zmupdateauthkeys

コマンド zmprov gacf | を使用して、すべてが動作していることを確認できます。 grep zimbraLogホスト名。 コマンド実行後、ログを収集するホスト名が表示されるはずです。 これを変更するには、コマンド zmprov mcf zimbraLogHostname mailstore01.company.ru を入力する必要があります。

他のすべてのインフラストラクチャ サーバー (LDAP、MTA、およびその他のメール ストア) で、コマンド zmprov gacf |grep zimbraLogHostname を実行して、ログの送信先のホストの名前を確認します。 これを変更するには、コマンド zmprov mcf zimbraLogHostname mailstore01.company.ru を入力することもできます。

各サーバーで次のコマンドも入力する必要があります。

sudo su - zimbra
/opt/zimbra/bin/zmsshkeygen
/opt/zimbra/bin/zmupdateauthkeys
exit
sudo /opt/zimbra/libexec/zmsyslogsetup
sudo service rsyslog restart
sudo su - zimbra
zmcontrol restart

この後、すべてのログは指定したサーバーに記録され、簡単に表示できるようになります。 また、Zimbra OSE 管理者コンソールでは、サーバーのステータスに関する情報が表示される画面に、実行中の Logger サービスが mailstore01 サーバーに対してのみ表示されます。

管理者にとってもう XNUMX つの悩みの種は、特定の電子メールを追跡することです。 Zimbra OSE の電子メールは、受信または送信される前に、ウイルス対策やスパム対策などによるスキャンなど、複数の異なるイベントを一度に通過するため、管理者にとって電子メールが到着しない場合、どの段階で追跡するかが非常に困難になる可能性があります。紛失してしまいました。

この問題を解決するには、情報セキュリティの専門家 Viktor Dukhovny によって開発され、Postfix 開発者に使用が推奨されている特別なスクリプトを使用できます。 このスクリプトは、特定のプロセスのログのエントリを連結するため、識別子に基づいて特定のレターの送信に関連するすべてのエントリをすばやく表示できます。 その動作は、8.7 以降の Zimbra OSE のすべてのバージョンでテストされています。 ここにスクリプトのテキストがあります。

#! /usr/bin/perl

use strict;
use warnings;

# Postfix delivery agents
my @agents = qw(discard error lmtp local pipe smtp virtual);

my $instre = qr{(?x)
	A			# Absolute line start
	(?:S+ s+){3} 		# Timestamp, adjust for other time formats
	S+ s+ 		# Hostname
	(postfix(?:-[^/s]+)?)	# Capture instance name stopping before first '/'
	(?:/S+)*		# Optional non-captured '/'-delimited qualifiers
	/			# Final '/' before the daemon program name
	};

my $cmdpidre = qr{(?x)
	G			# Continue from previous match
	(S+)[(d+)]:s+	# command[pid]:
};

my %smtpd;
my %smtp;
my %transaction;
my $i = 0;
my %seqno;

my %isagent = map { ($_, 1) } @agents;

while (<>) {
	next unless m{$instre}ogc; my $inst = $1;
	next unless m{$cmdpidre}ogc; my $command = $1; my $pid = $2;

	if ($command eq "smtpd") {
		if (m{Gconnect from }gc) {
			# Start new log
			$smtpd{$pid}->{"log"} = $_; next;
		}

		$smtpd{$pid}->{"log"} .= $_;

		if (m{G(w+): client=}gc) {
			# Fresh transaction 
			my $qid = "$inst/$1";
			$smtpd{$pid}->{"qid"} = $qid;
			$transaction{$qid} = $smtpd{$pid}->{"log"};
			$seqno{$qid} = ++$i;
			next;
		}

		my $qid = $smtpd{$pid}->{"qid"};
		$transaction{$qid} .= $_
			if (defined($qid) && exists $transaction{$qid});
		delete $smtpd{$pid} if (m{Gdisconnect from}gc);
		next;
	}

	if ($command eq "pickup") {
		if (m{G(w+): uid=}gc) {
			my $qid = "$inst/$1";
			$transaction{$qid} = $_;
			$seqno{$qid} = ++$i;
		}
		next;
	}

	# bounce(8) logs transaction start after cleanup(8) already logged
	# the message-id, so the cleanup log entry may be first
	#
	if ($command eq "cleanup") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		$transaction{$qid} .= $_;
		$seqno{$qid} = ++$i if (! exists $seqno{$qid});
		next;
	}

	if ($command eq "qmgr") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		if (defined($transaction{$qid})) {
			$transaction{$qid} .= $_;
			if (m{Gremoved$}gc) {
				print delete $transaction{$qid}, "n";
			}
		}
		next;
	}

	# Save pre-delivery messages for smtp(8) and lmtp(8)
	#
	if ($command eq "smtp" || $command eq "lmtp") {
		$smtp{$pid} .= $_;

		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $smtp{$pid};
			}
			delete $smtp{$pid};
		}
		next;
	}

	if ($command eq "bounce") {
		if (m{G(w+): .*? notification: (w+)$}gc) {
			my $qid = "$inst/$1";
			my $newid = "$inst/$2";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
			$transaction{$newid} =
				$_ . $transaction{$newid};
			$seqno{$newid} = ++$i if (! exists $seqno{$newid});
		}
		next;
	}

	if ($isagent{$command}) {
		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
		}
		next;
	}
}

# Dump logs of incomplete transactions.
foreach my $qid (sort {$seqno{$a} <=> $seqno{$b}} keys %transaction) {
    print $transaction{$qid}, "n";
}

スクリプトは Perl で書かれており、実行するにはファイルに保存する必要があります。 照合.pl、それを実行可能にし、ログ ファイルを指定してファイルを実行し、pgrep を使用して探している文字の識別情報を抽出します。 Collat​​e.pl /var/log/zimbra.log | pgrep '[メール保護]> '。 その結果、サーバー上のレターの移動に関する情報を含む行が順次出力されます。

# collate.pl /var/log/zimbra.log | pgrep '<[email protected]>'
Oct 13 10:17:00 mail postfix/pickup[4089]: 4FF14284F45: uid=1034 from=********
Oct 13 10:17:00 mail postfix/cleanup[26776]: 4FF14284F45: message-id=*******
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: from=********, size=1387, nrcpt=1 (queue active)
Oct 13 10:17:00 mail postfix/smtp[7516]: Anonymous TLS connection established to mail.*******[168.*.*.4]:25: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:00 mail postfix/smtp[7516]: 4FF14284F45: to=*********, relay=mail.*******[168.*.*.4]:25, delay=0.25, delays=0.02/0.02/0.16/0.06, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 878833424CF)
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: removed
Oct 13 10:17:07 mail postfix/smtpd[21777]: connect from zimbra.******[168.*.*.4]
Oct 13 10:17:07 mail postfix/smtpd[21777]: Anonymous TLS connection established from zimbra.******[168.*.*.4]: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:08 mail postfix/smtpd[21777]: 0CB69282F4E: client=zimbra.******[168.*.*.4]
Oct 13 10:17:08 mail postfix/cleanup[26776]: 0CB69282F4E: message-id=zimbra.******
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: from=zimbra.******, size=3606, nrcpt=1 (queue active)
Oct 13 10:17:08 mail postfix/virtual[5291]: 0CB69282F4E: to=zimbra.******, orig_to=zimbra.******, relay=virtual, delay=0.03, delays=0.02/0/0/0.01, dsn=2.0.0, status=sent (delivered to maildir)
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: removed

Zextras Suite に関するすべての質問については、Zextras Ekaterina Triandafilidi の代表者に電子メールでお問い合わせください。 [メール保護]

出所： habr.com