🥇Kopplar ihop ELK och Exchange. Del 1

Jag börjar en serie artiklar där jag vill dela med mig av min erfarenhet av att ansluta Exchange och ELK. Denna stack kommer att hjälpa till att hantera stora volymer av loggar utan att behöva fundera på vid vilken storlek vanliga loggningsverktyg slutar hjälpa oss. Låt oss lära känna en ny kämpe i loggar.

Exchange har ett ganska utbyggt loggningssystem. De mest efterfrågade loggarna är spårningsloggar, som följer den steg-för-steg-processen av ett specifikt meddelande inom e-postorganisationen; loggar från webbservern, som spårar varje ny användarsession i systemet, och loggar från specifika webbapplikationer med olika detaljnivåer för sessioner. Dessutom har Exchange möjlighet att lagra råa loggar för protokollen smtp, imap och pop3.

Vilka verktyg kan vi använda för att arbeta med loggar:

Inbyggda kommandot Get-MessageTrackingLog: praktiskt för att bearbeta spårningsloggar;
Verktyget logparser: använder en pseudö-SQL-syntax för loggning och fungerar ganska snabbt;
Extern SQL-server: för särskilt specifika fall (t.ex. analys av data över långa tidsperioder).

Allt detta fungerar ganska bra när vi har ett par servrar och mängden bearbetade loggar mäts i tiotals-hundratals gigabyte. Men vad händer om antalet servrar går upp till tiotals och storleken på loggarna överstiger en terabyte? Denna schematik börjar sannolikt att falla samman.

Och vad som händer är: Get-MessageTrackingLog börjar timeouta, logparser når taket för 32-bitarsarkitekturen, och exporten till SQL-servern går sönder vid fel nytt tillfälle och kan inte hantera en fler-radig exception från tjänsten.

Här kommer en ny aktör in på scenen – ELK-stacken, som är speciellt designad för att jonglera stora volymer av loggar inom rimliga tidsramar med en acceptabel resursförbrukning.

I den första delen kommer jag att detaljerat berätta om, hur man ansluter filebeat, som tillhör ELK-stacken, – ansvarar för att läsa och skicka enkla textfiler, där olika applikationer skriver sina loggar. I kommande artiklar kommer vi att gå mer ingående på komponenterna Logstash och Kibana.

Installation

Så, filarkivet för filebeat-agenten kan laddas ner från denna webbplats..

Vi kommer att installera det genom att enkelt packa upp innehållet i zip-filen. Till exempel i c:Program Filesfilebeat.Sedan behöver vi köra PowerShell-skriptet install-service-filebeat.ps1,som följer med, för att installera filebeat-tjänsten.

Nu är vi redo att börja konfigurera konfigurationsfilen.

Fel-tolerans

Filebeat garanterar leverans av loggar till loggsamlingssystemet. Detta uppnås genom att hålla en register över poster i loggfilerna. Registret lagrar information om de poster som har lästs från loggfilerna och markerar specifika poster som framgångsrikt har skickats till destinationsplatsen.

Om en post inte kan levereras kommer filebeat att försöka skicka den igen tills den får en bekräftelse från mottagande system eller den ursprungliga loggfilen tas bort under rotation.

Vid omstart av filebeat-tjänsten kommer den att läsa information från registret om de senaste lästa och levererade posterna och kommer att läsa poster i loggfilerna baserat på informationen i registret.

Detta minimerar risken för att förlora information om loggar som behöver skickas till servrarna elasticlogstash under oförutsedda avbrott och under serverunderhåll.

Mer om detta kan läsas i dokumentationen i avsnitten: Hur Filebeat håller reda på filernas tillstånd och Hur Filebeat säkerställer leverans minst en gång?

Inställning

All konfiguration görs i en konfigurationsfil av formatet yml, som är uppdelad i flera sektioner. Låt oss titta på några av dem som deltar i processen för insamling av loggar från Exchange-servrar.

Loggbehandlingsblock

Loggbehandlingsblocket börjar med fältet:

filebeat.inputs:

Vi kommer att använda ett gemensamt verktyg för logginsamling:

- typ: logg

Därefter anger vi status (aktiverad) och vägar till mappen med loggar. Till exempel, i fallet med IIS-loggar kan inställningarna se ut på följande sätt:

    enabled: true
    paths:
	- C:inetpublogsLogFilesW3SVC1*.log
	- C:inetpublogsLogFilesW3SVC2*.log

Ytterligare en viktig inställning: hur filebeat ska läsa flera rader poster. Som standard räknar filebeat en rad i loggfilen som en post. Detta fungerar bra tills vi börjar få undantag relaterade till felaktig funktion av tjänsten. I detta fall kan undantagen bestå av flera rader. Därför måste filebeat betrakta en fleradig post som en, om nästa rad börjar med ett datum. Loggformatet i Exchange är sådant att varje ny post i loggfilen börjar med ett datum. I konfigurationen ser detta villkor ut så här:

multiline:
	pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
	negate: true
	match: after

Det är meningsfullt att lägga till taggar i den skickade posten, till exempel:

  tags: ['IIS', 'ex-srv1']

Och glöm inte att utesluta rader som börjar med ett hash-tecken:

  exclude_lines: ['^#']

Så, blocket för att läsa loggarna kommer att se ut på följande sätt:

filebeat.inputs:
- type: log
  enabled: true
  paths:
	- C:inetpublogsLogFilesW3SVC1*.log
	- C:inetpublogsLogFilesW3SVC2*.log
  multiline:
	pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
	negate: true
	match: after
  tags: ['IIS', 'ex-srv1']
  exclude_lines: ['^#']

Blocket för att skicka loggar

Individuella poster i loggfilen skickas av filebeat som ett json-objekt, där den specifika posten från loggen finns i fältet message. Om vi vill arbeta med denna information måste vi först parsa detta fält till separata fält. Detta kan göras, till exempel, i logstash. Det kommer att vara mottagaren av posterna från filebeat. Så här kan det se ut i filebeat-konfigurationsfilen:

output.logstash:
  hosts: ["logstash1.domain.com:5044"]

Om det finns flera servrar kan indikatorn för lastbalansering aktiveras: då kommer filebeat att skicka loggar inte till den första tillgängliga servern i listan, utan fördela de skickade loggarna mellan flera servrar:

hosts: ["logstash1.domain.com:5044", "logstash2.domain.com:5044"]
  loadbalance: true

Filebeat lägger till viss metadata i det skickade json-objektet, utöver loggposten som finns i fältet message, vilket påverkar storleken på dokumentet som skickas till elastic. Denna metadata kan selektivt tas bort från sändningen. Detta görs i blocket processor med hjälp av processorn drop_fields. Exempelvis kan följande fält uteslutas:

processors:
- drop_fields:
	fields: ["agent.ephemeral_id", "agent.hostname", "agent.id", "agent.type", "agent.version", "agent", "ecs.version", "ecs", "input.type", "input", "log.offset", "version"]

Valet av uteslutna fält bör göras noggrant, eftersom vissa av dem kan användas på elastic-sidan för att bygga index.

Så, blocket för att skicka loggar kommer att se ut på följande sätt:

output.logstash:
  hosts: ["logstash1.domain.com:5044", "logstash2.domain.com:5044"]
  loadbalance: true
 
processors:
- drop_fields:
	fields: ["agent.ephemeral_id", "agent.hostname", "agent.id", "agent.type", "agent.version", "agent", "ecs.version", "ecs", "input.type", "input", "log.offset", "version"]

Inställningar för filebeat-loggning

Det är meningsfullt att ställa in följande loggningsalternativ:

Loggningsnivån info;
Loggar skrivs till filer som finns på standardplats (katalog logs, i installationskatalogen för filebeat);
Loggfilens namn är filebeat;
Spara de senaste 10 loggfilerna;
Starta rotation när storleken når 1 MB.

Den slutliga loggningsinställningen kommer att se ut så här:

logging.level: info
logging.to_files: true
logging.files:
  name: filebeat
  keepfiles: 10
  rotateeverybytes: 1048576

Den slutliga konfigurationen kommer att se ut på följande sätt:

Vi har samlat konfigurationen, och nu ser den ut så här:

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - C:inetpublogsLogFilesW3SVC1*.log
    - C:inetpublogsLogFilesW3SVC2*.log
  multiline:
    pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
    negate: true
    match: after
  tags: ['IIS', 'ex-srv1']
  exclude_lines: ['^#']
 
output.logstash:
  hosts: ["logstash1.domain.com:5044", "logstash2.domain.com:5044"]
  loadbalance: true
 
processors:
- drop_fields:
    fields: ["agent.ephemeral_id", "agent.hostname", "agent.id", "agent.type", "agent.version", "agent", "ecs.version", "ecs", "input.type", "input", "log.offset", "version"]
 
logging.level: info
logging.to_files: true
logging.files:
  name: filebeat
  keepfiles: 10
  rotateeverybytes: 1048576

Det är viktigt att förstå att konfigurationsfilens format är yml. Därför är det viktigt att korrekt ställa in mellanslag och bindestreck.

Filebeat kan kontrollera konfigurationsfilen, och om syntaxen innehåller fel, kommer den att ange vilken rad och på vilken plats i raden syntaxen är felaktig. Kontroll görs på följande sätt: