Graylog
Vì hai người đã khuyên bạn nên suy nghĩ lại về quy trình hiện tại của mình (mà tôi đứng thứ hai vì nó sẽ khiến bạn mất ngủ vào một lúc nào đó;)), tôi sẽ đi một tuyến đường khác và đề xuất một phần mềm cụ thể - theo ý kiến của tôi - phù hợp với hầu hết nhu cầu của bạn: Graylog .
Tôi đã triển khai và sử dụng một vài ngăn xếp ELK cho cả tổng hợp nhật ký và kinh doanh thông minh và cũng điều hành / duy trì Graylog trong khoảng hai năm nay tại nhà tuyển dụng hiện tại của tôi. Tôi khuyên dùng Graylog vì nó có các tính năng tích hợp sau và - theo ý kiến của tôi - dễ cài đặt và bảo trì hơn một chút:
- Giao diện web
- Khả năng đa người dùng
- Cảnh báo
Theo như tôi hiểu kịch bản của bạn, có vẻ như bạn cần phải hành động hoặc được cảnh báo về một số sự kiện xuất hiện trong luồng thông điệp tường trình của bạn. Nếu chúng ta nhìn vào các tính năng của Graylog :
Hành động kích hoạt hoặc được thông báo khi có điều gì đó cần chú ý, chẳng hạn như các lần đăng nhập thất bại, ngoại lệ hoặc suy giảm hiệu suất.
Ý tưởng: Gửi email hoặc tin nhắn Slack cho nhóm của bạn. Sinh ra một máy mới để cân bằng tải xử lý. Chặn phạm vi IP trong tường lửa của bạn tự động khi phát hiện một cuộc tấn công.
Để thử Graylog, tôi khuyên bạn nên thực hiện hai bước sau:
- Thiết lập một máy chủ chuyên dụng có thể truy cập được bởi tất cả các máy chủ ứng dụng của bạn để chạy Graylog (và các phụ thuộc của nó MongoDB và ElasticSearch)
- Gửi nhật ký từ ứng dụng của bạn tới Graylog (có thể là tin nhắn GELF )
Lưu ý: Hai bước này có khả năng lấp đầy các trang và trang thực hành tốt nhất và sẽ nhận được ít nhất một vài suy nghĩ. Chưa kể rằng Graylog không phải là một giải pháp giám sát và chính Graylog nên được giám sát bởi một công cụ giám sát thích hợp (ví dụ như Icinga, Prometheus, Nagios chỉ kể tên một số).