Graylog adalah alat manajemen log sumber terbuka gratis yang membantu Anda mengumpulkan dan menganalisis log mesin apa pun secara terpusat.
Panduan ini berfokus pada penginstalan Graylog (v3.2) pada Debian 10 / Debian 9.
Komponen
- Elasticsearch – Ini menyimpan log mesin dan menyediakan fasilitas pencarian.
- MongoDB – bertindak sebagai database untuk menyimpan konfigurasi dan informasi meta.
- Server Graylog – t mengumpulkan log dari berbagai masukan dan menyediakan Antarmuka Web bawaan untuk mengelola log.
Prasyarat
Instal beberapa paket yang diperlukan untuk pengaturan Graylog.
sudo apt update sudo apt install -y apt-transport-https uuid-runtime pwgen curl dirmngr wget
Instal Oracle JDK atau OpenJDK di mesin Anda untuk Elasticsearch.
sudo apt install -y default-jre
Verifikasi versi Java.
java -version
Keluaran:
openjdk version "11.0.6" 2020-01-14 OpenJDK Runtime Environment (build 11.0.6+10-post-Debian-1deb10u1) OpenJDK 64-Bit Server VM (build 11.0.6+10-post-Debian-1deb10u1, mixed mode, sharing)
Instal Elasticsearch
Elasticsearch adalah salah satu komponen utama dalam pengaturan Graylog. Ini bertindak sebagai server pencarian, menawarkan pencarian dan analisis terdistribusi real-time dengan antarmuka web RESTful.
Elasticsearch menyimpan log yang dikirim oleh server Graylog dan menampilkan pesan setiap kali pengguna meminta melalui antarmuka web bawaan.
Mari tambahkan kunci penandatanganan GPG Elasticsearch.
wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
Konfigurasikan repositori Eleasticsearch dengan menjalankan perintah di bawah ini.
echo "deb https://artifacts.elastic.co/packages/oss-6.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-6.x.list
Perbarui cache repositori dan instal Elasticsearch.
sudo apt update sudo apt install -y elasticsearch-oss
Edit file konfigurasi Elasticsearch.
sudo nano /etc/elasticsearch/elasticsearch.yml
Tetapkan nama cluster sebagai greylog.
cluster.name: graylog action.auto_create_index: false
Mulai ulang layanan Elasticsearch.
sudo systemctl restart elasticsearch
Setel Elasticsearch untuk memulai secara otomatis saat startup sistem.
sudo systemctl enable elasticsearch
Tunggu sebentar untuk memulai Elasticsearch sepenuhnya.
Elastisearch seharusnya sekarang mendengarkan pada port 9200 untuk melayani permintaan HTTP. Gunakan CURL untuk memeriksa respons.
curl -X GET http://localhost:9200
Pastikan nama cluster ditampilkan sebagai greylog.
{
"name" : "EHpBH-y",
"cluster_name" : "graylog",
"cluster_uuid" : "cGXE-wgsT56sBKsDC_TYBw",
"version" : {
"number" : "6.8.7",
"build_flavor" : "oss",
"build_type" : "deb",
"build_hash" : "c63e621",
"build_date" : "2020-02-26T14:38:01.193138Z",
"build_snapshot" : false,
"lucene_version" : "7.7.2",
"minimum_wire_compatibility_version" : "5.6.0",
"minimum_index_compatibility_version" : "5.0.0"
},
"tagline" : "You Know, for Search"
}
Periksa kesehatan cluster Elasticsearch.
curl -XGET 'http://localhost:9200/_cluster/health?pretty=true'
Pastikan status cluster hijau .
{
"cluster_name" : "graylog",
"status" : "green",
"timed_out" : false,
"number_of_nodes" : 1,
"number_of_data_nodes" : 1,
"active_primary_shards" : 0,
"active_shards" : 0,
"relocating_shards" : 0,
"initializing_shards" : 0,
"unassigned_shards" : 0,
"delayed_unassigned_shards" : 0,
"number_of_pending_tasks" : 0,
"number_of_in_flight_fetch" : 0,
"task_max_waiting_in_queue_millis" : 0,
"active_shards_percent_as_number" : 100.0
}
Instal MongoDB
Graylog 3 hanya berfungsi dengan MongoDB 4.0. Jadi, ikuti instruksi pada tautan di bawah ini untuk menginstal MongoDB 4.0, tergantung pada versi Debian.
BACA: Cara Menginstal MongoDB 4.0 Pada Debian 10
BACA: Cara Menginstal MongoDB 4.0 Pada Debian 9
Instal Graylog
Server Graylog menerima dan memproses log mesin dan menampilkannya untuk permintaan yang datang dari antarmuka web greylog.
Unduh dan Instal paket repositori Graylog.
wget https://packages.graylog2.org/repo/packages/graylog-3.2-repository_latest.deb sudo dpkg -i graylog-3.2-repository_latest.deb
Perbarui cache repositori.
sudo apt update
Instal server Graylog menggunakan perintah apt.
sudo apt install -y graylog-server
Tetapkan rahasia untuk mengamankan kata sandi pengguna. Gunakan perintah pwgen untuk hal yang sama.
pwgen -N 1 -s 96
Keluaran:
AE9RxeSA6BC6OCYh0zciUV7WMucNfodMhsmjYKOaBpWfQCBTzroa9ld7iOjespZjVwh47BIZFYTkeUD9h04uie2bghqrfShX
Edit file server.conf untuk memulai konfigurasi greylog.
sudo nano /etc/graylog/server/server.conf
Tempatkan rahasia seperti di bawah ini.
password_secret = OH9wXpsNZVBA8R5vJQSnkhTB1qDOjCxAh3aE3LvXddtfDlZlKYEyGS24BJAiIxI0sbSTSPovTTnhLkkrUvhSSxodTlzDi5gP
Setel kata sandi hash (sha256) untuk pengguna root Graylog (Pengguna root greylog adalah admin).
Kata sandi admin Graylog tidak dapat diubah menggunakan antarmuka web. Jadi, Anda harus mengedit file konfigurasi untuk mengaturnya.Ganti kata sandi Anda dengan pilihan Anda. Anda ingin kata sandi ini masuk ke antarmuka web Graylog.
echo -n yourpassword | sha256sum
Keluaran:
e3c652f0ba0b4801205814f8b6bc49672c4c74e25b497770bb89b22cdeb4e951
Edit lagi server.conf.
sudo nano /etc/graylog/server/server.conf
Tempatkan kata sandi hash.
root_password_sha2 = e3c652f0ba0b4801205814f8b6bc49672c4c74e25b497770bb89b22cdeb4e951
Instal antarmuka web Graylog
Edit file server.conf.
sudo nano /etc/graylog/server/server.conf
Ubah entri di bawah ini untuk mengaktifkan Antarmuka Web Graylog. Ganti 192.168.0.10 dengan alamat IP sistem Anda.
http_bind_address = 192.168.0.10:9000Jika Anda mengakses Graylog menggunakan alamat IP publik karena NATing, perbarui nilai di bawah ini. Jika tidak, lewati saja.
http_external_uri = http://public_ip:9000/
Mulai ulang layanan Graylog.
sudo systemctl start graylog-server
Aktifkan server Graylog untuk memulai secara otomatis pada boot sistem.
sudo systemctl enable graylog-server
Periksa log startup server untuk memecahkan masalah Graylog jika terjadi masalah.
sudo tail -f /var/log/graylog-server/server.log
Setelah memulai server Graylog dengan sukses, Anda akan mendapatkan pesan berikut di file log.
2020-03-29T23:27:14.057-05:00 INFO [ServerBootstrap] Graylog server up and running.
Akses antarmuka web Graylog
Antarmuka web Graylog sekarang akan tersedia di port 9000. Jadi, arahkan browser Anda ke.
http://ip.add.re.ss:9000Masuk dengan nama pengguna admin dan kata sandi yang Anda konfigurasikan di server.conf.
Setelah Anda masuk, Anda akan melihat halaman memulai Graylog.
Klik Sistem>> Ringkasan untuk memeriksa status server Graylog.
Kesimpulan
Itu saja. Saya harap Anda telah mempelajari cara menginstal Graylog pada Debian 10 / Debian 9. Untuk menerima log dari mesin lain, Anda perlu mengonfigurasi input Graylog dan harus mengonfigurasi mesin Linux untuk mengirim log ke Graylog.