Logs y Auditoría. Información sobre los procesos. Equipo docente Sistemas Operativos

Transcripción

1 Logs y Auditoría Información sobre los procesos Equipo docente Sistemas Operativos Universidad de Las Palmas de Gran Canaria 30/11/11 Logs y Auditoría 1 30/11/11 Logs y Auditoría 2 ps Informa sobre el estado de los procesos del sistema, admite varias opciones para especificar la información a mostrar. ps aux less Podemos filtrar o buscar información de un proceso en particular, combinando con el comando grep, para obtener información de un programa particular miprograma. ps ax grep miprograma pstree Presenta de forma gráfica un árbol con los procesos del sistema. La raiz del arbol es el primer proceso del sistema init. 30/11/11 Logs y Auditoría 3 30/11/11 Logs y Auditoría 4

2 top Muestra los procesos que mas CPU consumen, incluyendo información de uso de CPU y memoria en tiempo real, actualizándose cada 5 segundos. Para salir del comando top presione la tecla q. Se pueden dar ordenes interactivas como: u ordenar por usuario M ordenar por memoria P ordenar por usos de CPU h ayuda de pantalla 30/11/11 Logs y Auditoría 5 renice Permite alterar la prioridad de un proceso. w,who Muestra que usuarios están conectados y que están haciendo. ac Muestra datos estadísticos del tiempo que se han conectado los usuarios. 30/11/11 Logs y Auditoría 6 uptime Indica el tiempo que el sistema lleva encendido. ficheros /var/run/utmp, /var/log/wtmp Registros que almacenan información de quienes están usando el sistema actualmente. Desde programa haciendo #include <utmp.h> podemos utilizarlos y obtener información del los procesos. El fichero wtmp registra todos los inicios y final de sesión, updwtm escribe líneas en este fichero. free Uso de la memoria Muestra: la memoria principal del sistema el área swap la cantidad de memoria usada, libre, compartida, usada por los buffers del núcleo y memoria cache. 30/11/11 Logs y Auditoría 7 30/11/11 Logs y Auditoría 8

3 df Muestra la utilización del espacio en disco en el sistema de ficheros. Información del sistema de ficheros du Muestra una estimación del uso de espacio de ficheros en cada directorio. lsof Muestra el estado de todos los módulos instalados en el sistema. 30/11/11 Logs y Auditoría 9 30/11/11 Logs y Auditoría 10 lsmod Muestra el estado de todos los módulos instalados en el sistema. modprobe Permite añadir o quitar módulos dentro del núcleo. Información del hardware 30/11/11 Logs y Auditoría 11 30/11/11 Logs y Auditoría 12

4 lspci Muestra una lista de todos los dispositivos PCI, que están conectados al bus PCI, mostrando constructor, modelo, tamaño de la memoria. lscpu Muestra información de la arquitectura de la CPU. setpci Permite configurar los dispositivos PCI. lsusb Lista los dispositivos USB 30/11/11 Logs y Auditoría 13 30/11/11 Logs y Auditoría 14 En Aplicaciones Herramientas del sistema encontramos utilidades gráficas como: monitor del sistema Herramientas gráficas Edit - permite parar, reanudar, matar y finalizar un proceso. View - podemos ver información de todos los procesos o un proceso en particular, sus dependencias y la memoria que usa. Recursos - podemos ver de forma gráfica el historial de uso de la Cpu, memoria y red del sistema. Sistema de archivos - podemos ver de modo gráfico el uso del disco por parte de los sistemas de ficheros. 30/11/11 Logs y Auditoría 15 30/11/11 Logs y Auditoría 16

5 /proc Recursos adicionales /proc/cpuinfo /proc/modules Logs /proc/version 30/11/11 Logs y Auditoría 17 30/11/11 Logs y Auditoría 18 Son ficheros en texto plano, en los que se pueden hacer búsquedas y lecturas sin necesidad de usar herramientas especiales. Log == registro Se encargan de recoger los mensajes generados por los programas, aplicaciones y demonios y enviarlos a un destino predefinido. Están ubicados en /var/log 30/11/11 Logs y Auditoría 19 30/11/11 Logs y Auditoría 20

6 Cada mensaje consta de: La fuente (el programa que generó el mensaje) La prioridad (nivel de importancia del mensaje) Demonios La fecha y la hora 30/11/11 Logs y Auditoría 21 30/11/11 Logs y Auditoría 22 rsyslogd klogd rsyslogd Demonio que gestiona los ficheros de log del sistema. No los administra todos, ya que hay programas que tienen sus propios logs (apache, squid, etc) 30/11/11 Logs y Auditoría 23 30/11/11 Logs y Auditoría 24

7 klogd Se encarga de los logs del kernel. Lo normal es que klogd envíe sus mensajes a syslogd, pero no siempre es así. Configuración de syslogd /etc/syslog.conf *.info;mail.none;authpriv.none;cron.none /var/log/messages authpriv.* /var/log/secure mail.* -/var/log/maillog cron.* uucp,news.crit local7.* /var/log/cron /var/log/spooler /var/log/boot.log 30/11/11 Logs y Auditoría 25 30/11/11 Logs y Auditoría 26 Qué servicio? Con qué prioridad? Servicio kern user mail daemon aut syslog lpr cron local0 7 Descripción Generados por el kernel Procesos de usuario Mensajes correo Demonios del sistema Sistema de autorización Mensajes internos syslogd Sistema impresión Sistema cron Reservados Prioridad Debug Info Notice Warning Err Crit Alert Emerg None Descripción Mensajes Depuración Mensajes información No son errores, pero requieren atención Avisos (cuotas, vencimiento pass, etc) Otros errores Condiciones críticas (errores dispositivos) Alerta (ciertos usuarios) Emergencia (todos los usuarios) No se envían a los logs 30/11/11 Logs y Auditoría 27 30/11/11 Logs y Auditoría 28

8 Dónde se guardan? Fichero: <ruta> (más común) Dispositivo: /dev/<dispositivo> Programa: <ruta_fichero> /var/log /var/log/messages: log con prioridad info, notice o warn /var/log/kern.log: logs del kernel /var/log/auth.log: se registran los login del sistema así como sus intentos fallidos. /var/log/dmesg: información del arranque. 30/11/11 Logs y Auditoría 29 30/11/11 Logs y Auditoría 30 lastlog Lista de los usuarios del sistema y la fecha y hora de su último acceso. Auditando Cuándo entró el usuario root en el sistema? $ lastlog -u root -u: especificar nombre concreto de usuario 30/11/11 Logs y Auditoría 31 30/11/11 Logs y Auditoría 32

9 last Último logging que ha habido al sistema Quién fue el último usuario que entró? $ last lastb Usuarios que intentaron entrar y no pudieron Quién intentó entrar y no pudo? $ lastb 30/11/11 Logs y Auditoría 33 30/11/11 Logs y Auditoría 34 Cómo? => Barredores Programas que eliminan entradas en los ficheros log Eliminar nuestro rastro Programas: cloak, cloak2, utclean, remove, utmpedit, syslog fogger, marry 30/11/11 Logs y Auditoría 35 30/11/11 Logs y Auditoría 36

10 Soluciones Backups ficheros log Log remotos Herramientas de terceros Logs duros (en papel) Mirando logs 30/11/11 Logs y Auditoría 37 30/11/11 Logs y Auditoría 38 Ver archivos manualmente es inviable Comando de filtro: find: buscar archivos en directorios grep: filtrar líneas que coincidan con patrones dados egrep = grep -e sort: ordenación, mezclado o comparación entre líneas uniq: eliminación de entradas repetidas sucesivas cut: extracción de campos según un delimitador dado sed: editor de texto en línea de comandos awk: similar a sed, pero más complejo fgrep = grep -f 30/11/11 Logs y Auditoría 39 30/11/11 Logs y Auditoría 40

11 find Dónde está el fichero? $ find / -name nombre_fichero Qué archivos tienen permisos r+w+x en todos los directorios? grep Ha intentado el usuario root entrar? $ lastb grep root Qué archivos de /var/log se modificaron en Enero? $ ls -lt /var/log grep Enero $ find / -perm /11/11 Logs y Auditoría 41 30/11/11 Logs y Auditoría 42 cut / sort / uniq Quiénes son los usuarios que más entran? $ last cut -f1 -d ' ' sort uniq -c sort -nr head -n Últimas entradas de usuarios 2. Cogemos el nombre del usuario 3. Agrupamos 4. Contamos el número de veces que aparecen repetidos 5. Ordenamos numéricamente de mayor a menor 6. Mostramos los 10 primeros Mirando logs: find Dónde se guardan los logs de Apache? $ find / -name error_log Dónde puse la práctica de ASO? $ find / -name Mi_practicaASO Qué archivos tienen permisos r+w+x para todos? $ find / -perm /11/11 Logs y Auditoría 43 30/11/11 Logs y Auditoría 44

12 Mirando logs: grep Crear un fichero log único de peticiones DHCP $ echo $date >> dhcp_log && \ grep DHCP /var/log/messages > dhcp_log Ha intentado el usuario fran entrar? $ lastb grep fran Qué archivos de /var/log se modificaron en Enero? Mirando logs: sed Borrar las líneas de DHCP de messages $ cat /var/log/messages sed /DHCP/d > sindhcp_log Sustituir la antigua IP por la nueva en script $ sed s/ / /d /root/inicia_red Quitar comentarios de un código bash $ cat codigo sed s/^#/d > codigo_sincomentarios $ ls -latr /var/log grep $(date %b) 30/11/11 Logs y Auditoría 45 30/11/11 Logs y Auditoría 46 Mirando logs: awk Borrar todos los directorios de una carpeta $ ls -l grep '^d' awk '{print "rm -r "$9}' sh 1. Listamos el contenido del directorio actual Logrotate 2. Filtramos los que contienen una d (directorio) 3. Imprimimos los comandos de borrado 4 Lo mandamos al shell para que lo ejecute 30/11/11 Logs y Auditoría 47 30/11/11 Logs y Auditoría 48

13 En sistemas con muchos usuarios los logs crecen muy rápidamente. Mucha información Archivos muy grandes LOGROTATE script /etc/cron.daily/logrotate Se encarga de comprimir y aplicar una rotación de archivos, añadiéndoles la extensión.1.gz,.2.gz volviendo a crear uno vacío. Cuanto mayor sea el número, más antiguo será el log. 30/11/11 Logs y Auditoría 49 30/11/11 Logs y Auditoría 50 Logrotate cambia, comprime y envía logs del sistema. Tarea diaria (cron) /etc/logrotate.conf rotate 5 weekly /var/log/messages { create 0640 admin root compress postrotate /bin/kill -HUP cat /var/run/syslogd.pid endscript } Más herramientas man lograte 30/11/11 Logs y Auditoría 51 30/11/11 Logs y Auditoría 52

14 SWATCH: supervisión en tiempo real, log e información. Finger: conseguir información de la máquina atacante Paginado instantáneo (tiempo real) WATCHER: analizador logs y procesos PingLogger: logs de paquetes ICMP LogSurfer: llevar a cabo acciones en base a patrones encontrados en ficheros log. NetLog: logs de tráfico TCP/UDP Webmin: interfaz web para gestionar y administrar el sistema. 30/11/11 Logs y Auditoría 53 30/11/11 Logs y Auditoría 54 Usando Webmin Descargar RPM (2do enlace): Instalar: doble click, aceptar todo Abrir navegador: Entrar con usuario root y su respectiva contraseña Log File Rotation / System Logs 30/11/11 Logs y Auditoría 55