Journalisation d'un pare-feu avec MySQL — une méthode rapide et simple

1. Vérification de la configuration du noyau

Vous pouvez sauter cette étape si vous utilisez le noyau par défaut de la SuSE 10.0®. Les noyaux d'origine fournis avec la plupart des distributions devraient fonctionner sans problème, mais vous devrez vous assurer que vous avez compilé votre noyau avec les options CONFIG_NETFILTER, CONFIG_IP_NF_IPTABLES,CONFIG_IP_NF_FILTER et CONFIG_IP_NF_TARGET_ULOG. La plupart des pare-feux auront également besoin de CONFIG_IP_NF_CONNTRACK, CONFIG_IP_NF_FTP et de CONFIG_IP_NF_IRC.

Si vous avez un fichier appelé /proc/config.gz, cela signifie que votre noyau a été compilé avec l'option IKCONFIG. Comme /proc/config.gz est la version compressée du fichier .config qui a été utilisé pour générer le noyau, vous pouvez vérifier si vous avez les options nécessaires pour netfilter et ulog à l'aide de cette commande :

gunzip -c /proc/config.gz | grep -E 'CONFIG_(NETFILTER|(IP_NF_(IPTABLE|FILTER|TARGET_ULOG)))'

S'ils ne sont pas activés en tant que modules ou compilés dans le noyau, vous devrez les changer et recompiler le noyau. Dans menuconfig, activez les options suivantes :

Networking options > Network packet filtering
Networking options > Netfilter Configuration > IP tables support
Networking options > Netfilter Configuration > Packet filtering
Networking options > Netfilter Configuration > ULOG target support

Vous pourriez également être amené à vérifier que iptables est compilé avec la prise en charge de ulog.

2. Installation de MySQL

Vous pouvez aller directement section 2.1. si vous avez déjà MySQL installé. Autrement :

apt install mysql
/etc/init.d/mysql restart
chkconfig mysql on

Si vous utilisez SuSE® et que apt4rpm n'est pas installé sur votre système, je vous recommande fortement de l'installer, car il simplifiera considérablement la gestion de vos paquetages.

Vous devez également choisir un mot de passe pour l'utilisateur root de MySQL :

mysqladmin -u root password 'votre_motdepasse'

mysql -p -u root

create database ulogdb;
use ulogdb;
source /path/to/nulog/scripts/ulogd.mysqldump;
grant select,insert,update,drop,delete,create temporary tables, on ulogdb.* to ulog@localhost identified by 'ulogpass';
flush privileges;
quit;

3. Installation de ulogd

Installez le démon de journalisation ulogd :

apt install ulogd-mysql

[MYSQL]
table="ulog"
pass="ulogpass"
user="ulog"
db="ulogdb"
host="localhost"

plugin /usr/lib/ulogd/ulogd_MYSQL.so

#syslogfile /var/log/ulogd.syslogmenu
#plugin /usr/lib/ulogd/ulogd_LOGEMU.so

/etc/init.d/ulogd restart
chkconfig ulogd on

4. Redirection de la journalisation de iptables

La commande sed suivante commute toutes vos règles iptables pour les journaliser via ULOG. Nous supposerons que vous stockez votre ensemble de règles iptables dans un fichier appelé « iptables » (habituellement dans /etc/sysconfig/ ou /var/lib/) :

sed 's/LOG/ULOG/'; /etc/sysconfig/iptables > /etc/sysconfig/uiptables
iptables-restore < /etc/sysconfig/uiptables

Votre configuration est à présent terminée ! Tous les journaux provenant de votre pare-feu sont à présent consignés dans votre base de données MySQL. N'oubliez pas de mettre à jour votre script de démarrage de pare-feu de façon à ce que les nouvelles règles iptables soient prises en compte.

5. Importation de vos anciens journaux

Jusqu'ici, tout se déroule bien, mais vous aimeriez probablement avoir vos anciens journaux dans MySQL également. Voici un petit script perl pour vous permettre d'importer vos anciens fichiers journaux texte dans MySQL. Certaines des expressions régulières sont réutilisées depuis adcfw-log. Vous pouvez habituellement trouver vos journaux netfilter dans /var/log/firewall-XXXXXX.gz ou /var/log/messages-XXXXXX.gz. Pour importer :

gunzip -c /var/log/firewall-XXXXXX.gz | nf2sql.pl

Répétez cette procédure pour chacun de vos autres fichiers journaux. Pour convertir un fichier journal actuel (ou un autre fichier journal décompressé) tel que /var/log/messages ou /var/log/firewall :

nf2sql.pl < /var/log/messages

C'est tout !

6. Analyse des résultats

Pour analyser vos journaux dans MySQL, vous pouvez faire appel à nulog ou webfwlog.

7. Liens

Cet article a été en partie inspiré par cet article (disponible uniqument en espagnol).

La page originale de ulog se trouve ici.

Si vous souhaitez approfondir et journaliser tous les messages système dans MySQL, jetez un coup d'œil à ce wiki : http://gentoo-wiki.com/HOWTO_setup_PHP-Syslog-NG.

Voici une raison d'abandonner la journalisation habituelle depuis un fichier texte.

Si vous n'avez pas déjà votre iptables configuré, vous pouvez facilement construire un ensemble de règles satisfaisant avec shorewall, firehol ou firestarter.