[Logstash] 로그인 실패 시 로그 남기기

● 기본 설정

2023.03.23 - [분류 전체보기] - [Logstash] 시작하기

[Logstash] 시작하기

 

● 기존 파일 삭제

rm -rf /etc/logstash/conf.d/std.conf

 

● 권한 변경

》 Logstash 에서 로그를 읽고 쓸 수 있도록 설정

chgrp logstash /var/log/secure
chmod 640 /var/log/secure

 

● /etc/logstash/conf.d/sshd.conf  파일 생성

》 input : 특정 파일 지정 (ex. 잘못된 로그인 접근 시 로그가 남는 파일 /var/log/secure)

》 filter : message 가 일치하는지 확인

》 output : elasticsearch 에게 인덱스를 만들어달라고 요청

input {
  file {
    type => "seucure_log"
    path => "/var/log/secure"
  }
}
filter {
  grok {
    add_tag => [ "sshd_fail" ]
    match => { "message" => "Failed %{WORD:sshd_auth_type} for %{USERNAME:sshd_invalid_user} from %{IP:sshd_client_ip} port %{NUMBER:sshd_port} %{GREEDYDATA:sshd_protocol}" }
  }
}

output {
  elasticsearch {
    hosts => ["http://[elasticsearch ip]:9200"]
    index => "sshd_fail-%{+YYYY.MM}"
  }
}

 

● 실행

systemctl restart logstash

 

● 확인

》 Logstash 서버에 ssh 접속 후 로그인 실패 해보기

 

① Postman에서 확인

로그 파일이 생겼네용

조회도 가능해용

 

② 웹에서 확인

》 http://[kibana ip]:5601 접속

》 좌측 상단 햄버거 버튼 클릭 》 Stack Management 》 Index Patterns 》 Create Index Pattern

인덱스 생성 후 확인해볼거에용

》 좌측 상단 햄버거 버튼 클릭 》 Discover

남겨진 기록을 확인할 수 있습니당