Како радити са Зимбра ОСЕ евиденцијама

Евидентирање свих дешавања је једна од најважнијих функција сваког корпоративног система. Дневници вам омогућавају да решавате проблеме који се појављују, вршите ревизију рада информационих система, а такође и да истражујете инциденте безбедности информација. Зимбра ОСЕ такође води детаљне евиденције свог рада. Они укључују све податке од перформанси сервера до слања и примања е-поште од стране корисника. Међутим, читање дневника које генерише Зимбра ОСЕ је прилично нетривијалан задатак. У овом чланку, користећи конкретан пример, рећи ћемо вам како да читате Зимбра ОСЕ евиденције, као и како да их централизујете.

Зимбра ОСЕ чува све локалне евиденције у фасцикли /опт/зимбра/лог, а евиденције се такође могу наћи у датотеци /вар/лог/зимбра.лог. Најважнији од њих је маилбок.лог. Он бележи све радње које се дешавају на серверу поште. То укључује пренос е-поште, података за аутентификацију корисника, неуспеле покушаје пријаве и друго. Уноси у маилбок.лог су текстуални низ који садржи време када се догађај десио, ниво догађаја, број нити у којој се догађај десио, корисничко име и ИП адресу, као и текстуални опис догађаја .

Ниво дневника указује на степен утицаја догађаја на рад сервера. Подразумевано постоје 4 нивоа догађаја: ИНФО, ВАРН, ЕРРОР и ФАТАЛ. Погледајмо све нивое у растућем редоследу озбиљности.

• ИНФО – Догађаји на овом нивоу обично имају за циљ да информишу о напретку Зимбра ОСЕ. Поруке на овом нивоу укључују извештаје о креирању или брисању поштанског сандучета и тако даље.
• ВАРН - догађаји овог нивоа обавештавају о ситуацијама које су потенцијално опасне, али не утичу на рад сервера. На пример, ниво ВАРН означава поруку о неуспелом покушају пријаве корисника.
• ГРЕШКА - овај ниво догађаја у дневнику обавештава о појави грешке која је локалне природе и не омета рад сервера. Овај ниво може означити грешку у којој су индексни подаци појединачног корисника постали оштећени.
• ФАТАЛ - овај ниво указује на грешке због којих сервер не може да настави нормално да ради. На пример, ниво ФАТАЛ ће бити за запис који указује на немогућност повезивања са ДБМС-ом.

Датотека евиденције сервера поште се ажурира сваког дана. Најновија верзија датотеке увек има назив Маилбок.лог, док евиденције за одређени датум имају датум у називу и налазе се у архиви. На пример маилбок.лог.2020-09-29.тар.гз. Ово знатно олакшава прављење резервних копија дневника активности и претраживање дневника.

Ради погодности администратора система, директоријум /опт/зимбра/лог/ садржи друге евиденције. Они укључују само уносе који се односе на одређене елементе Зимбра ОСЕ. На пример, аудит.лог садржи само записе о аутентификацији корисника, цламд.лог садржи податке о раду антивирусног програма итд. Иначе, одличан метод заштите Зимбра ОСЕ сервера од уљеза је заштита сервера коришћењем Фаил2Бан-а, који ради само на основу аудит.лог. Такође је добра пракса да додате црон задатак да бисте извршили команду греп -ир „неважећа лозинка“ /опт/зимбра/лог/аудит.логда примате дневне информације о неуспешној пријави.

Пример како аудит.лог приказује лозинку унету двапут погрешно и успешан покушај пријаве.

Дневници у Зимбра ОСЕ могу бити изузетно корисни у идентификовању узрока различитих критичних кварова. У тренутку када дође до критичне грешке, администратор обично нема времена да чита дневнике. Потребно је вратити сервер што је пре могуће. Међутим, касније, када сервер направи резервну копију и генерише много евиденција, може бити тешко пронаћи потребан унос у великој датотеци. Да бисте брзо пронашли запис о грешци, довољно је знати време када је сервер поново покренут и пронаћи унос у евиденцији који датира из тог времена. Претходни унос ће бити запис о грешци која се догодила. Поруку о грешци можете пронаћи и тако што ћете потражити кључну реч ФАТАЛ.

Зимбра ОСЕ евиденције вам такође омогућавају да идентификујете некритичне грешке. На пример, да бисте пронашли изузетке руковаоца, можете претражити изузетак руковаоца. Често су грешке које генеришу руковаоци праћене праћењем стека које објашњава шта је изазвало изузетак. У случају грешака са испоруком поште, требало би да започнете претрагу са кључном речи ЛмтпСервер, а за тражење грешака у вези са ПОП или ИМАП протоколима можете користити кључне речи ИмапСервер и Поп3Сервер.

Дневници такође могу помоћи када се истражују инциденти у области безбедности информација. Погледајмо конкретан пример. Један од запослених је 20. септембра послао клијенту писмо заражено вирусом. Као резултат тога, подаци на рачунару клијента су шифровани. Међутим, запослени се куне да ништа није послао. У оквиру истраге о инциденту, служба безбедности предузећа захтева од администратора система евиденцију мејл сервера за 20. септембар у вези са корисником који се истражује. Захваљујући временском жигу, администратор система проналази потребну датотеку евиденције, издваја потребне информације и преноси их стручњацима за безбедност. Они га, пак, прегледају и открију да ИП адреса са које је послато ово писмо одговара ИП адреси рачунара корисника. Снимци ЦЦТВ-а су потврдили да је запосленик био на свом радном месту када је писмо послато. Ови подаци су били довољни да га оптуже за кршење правила информационе безбедности и отпусте. 

Пример издвајања записа о једном од налога из евиденције Маилбок.лог у посебну датотеку

Све постаје много компликованије када је у питању мулти-серверска инфраструктура. Пошто се евиденције прикупљају локално, рад са њима у инфраструктури са више сервера је веома незгодан и стога постоји потреба да се прикупљање евиденција централизује. Ово се може урадити подешавањем хоста за прикупљање дневника. Нема посебне потребе за додавањем наменског хоста инфраструктури. Сваки сервер поште може да делује као чвор за прикупљање евиденције. У нашем случају, ово ће бити чвор Маилсторе01.

На овом серверу морамо да унесемо следеће команде:

sudo su – zimbra 
zmcontrol stop
exit
sudo /opt/zimbra/libexec/zmfixperms -e -v

Уредите /етц/сисцонфиг/рсислог датотеку и поставите СИСЛОГД_ОПТИОНС=”-р -ц 2″

Уредите /етц/рсислог.цонф и скините коментар са следећих редова:
$МодЛоад имудп
$УДПСерверРун 514

Унесите следеће команде:

sudo /etc/init.d/rsyslog stop
sudo /etc/init.d/rsyslog start
sudo su – zimbra
zmcontrol start
exit
sudo /opt/zimbra/libexec/zmloggerinit
sudo /opt/zimbra/bin/zmsshkeygen
sudo /opt/zimbra/bin/zmupdateauthkeys

Можете проверити да ли све ради помоћу команде змпров гацф | греп зимбраЛогХостнаме. Након извршења команде, треба да се прикаже име хоста који прикупља евиденције. Да бисте га променили, морате унети команду змпров мцф зимбраЛогХостнаме маилсторе01.цомпани.ру.

На свим осталим инфраструктурним серверима (ЛДАП, МТА и друге продавнице поште), покрените команду змпров гацф |греп зимбраЛогХостнаме да бисте видели име хоста коме се шаљу евиденције. Да бисте га променили, такође можете да унесете команду змпров мцф зимбраЛогХостнаме маилсторе01.цомпани.ру

Такође морате да унесете следеће команде на сваком серверу:

sudo su - zimbra
/opt/zimbra/bin/zmsshkeygen
/opt/zimbra/bin/zmupdateauthkeys
exit
sudo /opt/zimbra/libexec/zmsyslogsetup
sudo service rsyslog restart
sudo su - zimbra
zmcontrol restart

Након тога, сви дневници ће бити снимљени на серверу који сте навели, где се могу лако прегледати. Такође, у Зимбра ОСЕ администраторској конзоли, на екрану са информацијама о статусу сервера, покренута услуга Логгер ће бити приказана само за сервер маилсторе01.

Још једна главобоља за администратора може бити праћење одређене е-поште. Пошто е-поруке у Зимбра ОСЕ пролазе кроз неколико различитих догађаја одједном: скенирање антивирусом, антиспам и тако даље, пре него што буду прихваћене или послате, за администратора, ако е-порука не стигне, може бити прилично проблематично пратити у којој фази било је изгубљено.

Да бисте решили овај проблем, можете користити посебну скрипту, коју је развио стручњак за информациону безбедност Виктор Духовни и препоручио за употребу од стране Постфик програмера. Ова скрипта спаја уносе из дневника за одређени процес и због тога вам омогућава да брзо прикажете све уносе повезане са слањем одређеног писма на основу његовог идентификатора. Његов рад је тестиран на свим верзијама Зимбра ОСЕ, почевши од 8.7. Ево текста сценарија.

#! /usr/bin/perl

use strict;
use warnings;

# Postfix delivery agents
my @agents = qw(discard error lmtp local pipe smtp virtual);

my $instre = qr{(?x)
	A			# Absolute line start
	(?:S+ s+){3} 		# Timestamp, adjust for other time formats
	S+ s+ 		# Hostname
	(postfix(?:-[^/s]+)?)	# Capture instance name stopping before first '/'
	(?:/S+)*		# Optional non-captured '/'-delimited qualifiers
	/			# Final '/' before the daemon program name
	};

my $cmdpidre = qr{(?x)
	G			# Continue from previous match
	(S+)[(d+)]:s+	# command[pid]:
};

my %smtpd;
my %smtp;
my %transaction;
my $i = 0;
my %seqno;

my %isagent = map { ($_, 1) } @agents;

while (<>) {
	next unless m{$instre}ogc; my $inst = $1;
	next unless m{$cmdpidre}ogc; my $command = $1; my $pid = $2;

	if ($command eq "smtpd") {
		if (m{Gconnect from }gc) {
			# Start new log
			$smtpd{$pid}->{"log"} = $_; next;
		}

		$smtpd{$pid}->{"log"} .= $_;

		if (m{G(w+): client=}gc) {
			# Fresh transaction 
			my $qid = "$inst/$1";
			$smtpd{$pid}->{"qid"} = $qid;
			$transaction{$qid} = $smtpd{$pid}->{"log"};
			$seqno{$qid} = ++$i;
			next;
		}

		my $qid = $smtpd{$pid}->{"qid"};
		$transaction{$qid} .= $_
			if (defined($qid) && exists $transaction{$qid});
		delete $smtpd{$pid} if (m{Gdisconnect from}gc);
		next;
	}

	if ($command eq "pickup") {
		if (m{G(w+): uid=}gc) {
			my $qid = "$inst/$1";
			$transaction{$qid} = $_;
			$seqno{$qid} = ++$i;
		}
		next;
	}

	# bounce(8) logs transaction start after cleanup(8) already logged
	# the message-id, so the cleanup log entry may be first
	#
	if ($command eq "cleanup") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		$transaction{$qid} .= $_;
		$seqno{$qid} = ++$i if (! exists $seqno{$qid});
		next;
	}

	if ($command eq "qmgr") {
		next unless (m{G(w+): }gc);
		my $qid = "$inst/$1";
		if (defined($transaction{$qid})) {
			$transaction{$qid} .= $_;
			if (m{Gremoved$}gc) {
				print delete $transaction{$qid}, "n";
			}
		}
		next;
	}

	# Save pre-delivery messages for smtp(8) and lmtp(8)
	#
	if ($command eq "smtp" || $command eq "lmtp") {
		$smtp{$pid} .= $_;

		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $smtp{$pid};
			}
			delete $smtp{$pid};
		}
		next;
	}

	if ($command eq "bounce") {
		if (m{G(w+): .*? notification: (w+)$}gc) {
			my $qid = "$inst/$1";
			my $newid = "$inst/$2";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
			$transaction{$newid} =
				$_ . $transaction{$newid};
			$seqno{$newid} = ++$i if (! exists $seqno{$newid});
		}
		next;
	}

	if ($isagent{$command}) {
		if (m{G(w+): to=}gc) {
			my $qid = "$inst/$1";
			if (defined($transaction{$qid})) {
				$transaction{$qid} .= $_;
			}
		}
		next;
	}
}

# Dump logs of incomplete transactions.
foreach my $qid (sort {$seqno{$a} <=> $seqno{$b}} keys %transaction) {
    print $transaction{$qid}, "n";
}

Скрипта је написана у Перлу и да бисте је покренули потребно је да је сачувате у датотеци цоллате.пл, учините га извршним, а затим покрените датотеку која наводи датотеку евиденције и користећи пгреп да извучете идентификационе информације писма које тражите цоллате.пл /вар/лог/зимбра.лог | пгреп '[емаил заштићен]> '. Резултат ће бити секвенцијални излаз редова који садрже информације о кретању слова на серверу.

# collate.pl /var/log/zimbra.log | pgrep '<[email protected]>'
Oct 13 10:17:00 mail postfix/pickup[4089]: 4FF14284F45: uid=1034 from=********
Oct 13 10:17:00 mail postfix/cleanup[26776]: 4FF14284F45: message-id=*******
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: from=********, size=1387, nrcpt=1 (queue active)
Oct 13 10:17:00 mail postfix/smtp[7516]: Anonymous TLS connection established to mail.*******[168.*.*.4]:25: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:00 mail postfix/smtp[7516]: 4FF14284F45: to=*********, relay=mail.*******[168.*.*.4]:25, delay=0.25, delays=0.02/0.02/0.16/0.06, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 878833424CF)
Oct 13 10:17:00 mail postfix/qmgr[9946]: 4FF14284F45: removed
Oct 13 10:17:07 mail postfix/smtpd[21777]: connect from zimbra.******[168.*.*.4]
Oct 13 10:17:07 mail postfix/smtpd[21777]: Anonymous TLS connection established from zimbra.******[168.*.*.4]: TLSv1 with cipher ADH-AES256-SHA (256/256 bits)
Oct 13 10:17:08 mail postfix/smtpd[21777]: 0CB69282F4E: client=zimbra.******[168.*.*.4]
Oct 13 10:17:08 mail postfix/cleanup[26776]: 0CB69282F4E: message-id=zimbra.******
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: from=zimbra.******, size=3606, nrcpt=1 (queue active)
Oct 13 10:17:08 mail postfix/virtual[5291]: 0CB69282F4E: to=zimbra.******, orig_to=zimbra.******, relay=virtual, delay=0.03, delays=0.02/0/0/0.01, dsn=2.0.0, status=sent (delivered to maildir)
Oct 13 10:17:08 mail postfix/qmgr[9946]: 0CB69282F4E: removed

За сва питања у вези са Зектрас Суите-ом можете контактирати представницу Зектрас Екатерину Триандафилиди путем е-поште [емаил заштићен]

Извор: ввв.хабр.цом