Логирование событий безопасности

#!/usr/bin/env python3

import select
from systemd import journal

def matches_template(message, template):
    """Проверка на наличие плейсхолдеров"""
    if '<' not in template or '>' not in template:
        # Нет плейсхолдера — простая подстрока
        return template in message

    # Разбиваем шаблон на части по <...>
    parts = []
    start = 0
    while True:
        i = template.find('<', start)
        if i == -1:
            # Остаток после последней >
            parts.append(template[start:])
            break
        parts.append(template[start:i])
        j = template.find('>', i)
        if j == -1:
            # Незакрытая < — считаем всё до конца как текст
            parts.append(template[i:])
            break
        start = j + 1

    # Убираем пустые части (например, если шаблон начинается с <...>)
    parts = [p for p in parts if p]

    if not parts:
        return True  # пустой шаблон — совпадает всегда

    # Проверяем, что все части идут в message в правильном порядке
    pos = 0
    for part in parts:
        idx = message.find(part, pos)
        if idx == -1:
            return False
        pos = idx + len(part)
    return True

j = journal.Reader()
j.log_level(journal.LOG_INFO)

j.seek_tail()
j.get_previous()

p = select.poll()
p.register(j, j.get_events())

filters = {
    # Вход в платформу
    'login': {
        # proxy_message — тип запроса. Например, /public/token при авторизации
        'proxy': "Begin processing request target: '/public/token'",
        # auth_message — авторизация по логину и паролю. Содержит id или email пользователя
        'auth': "SELECT auth_user.id AS `id`,auth_user.password AS `password`",
        # input_message — IP-адрес и результат операции: 
        # 200 — авторизация выполнена;
        # 400 — в авторизации отказано.
        'input': "POST /auth/v4/public/token"
    },
    # Выход из платформы
    'logout': {
        # proxy_message1 — тип запроса (DELETE/target/%2Ftoken — выход из системы)
        'proxy1': "Begin processing request target: '/public/global/whoami/method/DELETE/target/%2Ftoken",
        # proxy_message2 — сведения об учётной записи
        'proxy2': "Auth response body",
        # auth_message — удаление токена авторизации
        'auth': "DELETE FROM auth_token WHERE auth_token.id",
        # input_message — результат операции
        'input': "DELETE /auth/v4/token"
    },
    # Создание учётной записи
    'user_create': {
        # writer_message1 — тип запроса (POST /user — создание учётной записи)
        'writer1': "request method: POST url: /user",
        # writer_message2 — заголовок internal-auth, содержит данные об учётной записи пользователя, отправившего запрос, в формате base64
        'writer2': "Got header: [internal-auth]",
        # writer_message3 — IP-адрес, с которого отправлен запрос
        'writer3': "Got header: [x-forwarded-for]",
        # writer_message4 — содержимое запроса (имя созданной учётной записи и ее роль)
        'writer4': "RequestBody",
        # writer_message5 — ID созданной учётной записи
        'writer5': "User <username> created in auth"
    },
    # Удаление учётной записи
    'user_delete': {
        # writer_message1 — тип запроса (DELETE /user/<ID> — удаление учётной записи)
        'writer1': "request method: DELETE url: /user/<ID>",
        # writer_message2 — заголовок internal-auth, содержит данные об учётной записи пользователя, отправившего запрос, в формате base64
        'writer2': "Got header: [internal-auth]",
        # writer_message3 — IP-адрес, с которого отправлен запрос
        'writer3': "Got header: [x-forwarded-for]",
        # auth_message — ID удалённой учётной записи
        'auth': "DELETE FROM auth_user WHERE auth_user.id"
    },
    # Изменение роли учётной записи
    'user_role_change': {
        # writer_message1 — тип запроса (POST /user/<ID> — редактирование учётной записи)
        'writer1': "request method: POST url: /user/<ID>",
        # writer_message2 — заголовок internal-auth, содержит данные об учётной записи пользователя, отправившего запрос, в формате base64
        'writer2': "Got header: [internal-auth]",
        # writer_message3 — IP-адрес, с которого отправлен запрос
        'writer3': "Got header: [x-forwarded-for]",
        # auth_message — ID редактируемой учётной записи и назначенная ей роль
        'auth': "UPDATE auth_user SET `roles`"
    },
    # Создание ключа для авторизации по ключу
    'auth_key_create': {
        # proxy_message1 — тип запроса (POST /user/<ID_или_email>/key — создание ключа)
        'proxy1': "Begin processing request target: '/user/<ID_или_email>/key'",
        # proxy_message2 — сведения об учётной записи, от которой пришёл запрос
        'proxy2': "Auth response body",
        # auth_message — сведения о созданном ключе
        'auth': "INSERT INTO auth_key",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input1': "POST /auth/v4/user/<ID_или_email>/key",
        'input2': "POST /api/auth/v4/user/<ID_или_email>/key"
    },
    # Авторизация по ключу
    'auth_by_key': {
        # proxy_message — тип запроса (/public/key —  авторизация по ключу)
        'proxy': "Begin processing request target: '/public/key'",
        # auth_message — данные созданного токена авторизации
        'auth': "INSERT INTO auth_token",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input1': "POST /auth/v4/public/key",
        'input2': "POST /api/auth/v4/public/key"
    },
    # Сброс пароля учётной записи
    'password_reset': {
        # proxy_message1 — тип запроса (POST /user/<ID>/password — сброс пароля)
        'proxy1': "Begin processing request target: '/user/<ID>/password'",
        # proxy_message2 — сведения об учётной записи, запросившей сброс пароля
        'proxy2': "Auth response body",
        # auth_message — сведения об учетной записи, для которой пароль был сброшен
        'auth': "UPDATE auth_user SET `password`",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /auth/v4/user/100007/password"
    },
    # Блокировка и разблокировка учётной записи
    'user_lock_toggle': {
        # proxy_message1 — тип запроса (POST /user/<ID>/suspend — блокировка учётной записи, POST /user/<ID>/resume — разблокировка)
        'proxy1': "Begin processing request target: '/user/<ID>/suspend'",
        'proxy2': "Begin processing request target: '/user/100007/resume'",
        # proxy_message2 — сведения об учётной записи, запросившей операцию
        'auth_info': "Auth roles",
        # auth_message — сведения о заблокированной или разблокированной учётной записи
        'auth1': "UPDATE auth_user SET `state`='disabled'",
        'auth2': "UPDATE auth_user SET `state`='active'",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input1': "POST /auth/v4/user/<ID>/suspend",
        'input2': "POST /auth/v4/user/<ID>/resume"
    },
    # Создание и удаление группы
    'acl_group_create_delete': {
        # proxy_message1 — тип запроса (POST /acl — создание ACL-группы, DELETE /acl/<ID> — удаление)
        'proxy1': "Begin processing request target: '/public/global/whoami/method/POST/target/%2Facl'",
        'proxy2': "Begin processing request target: '/public/global/whoami/method/DELETE/target/%2Facl%2F1'",
        # proxy_message2 — сведения об учётной записи, запросившей операцию
        'proxy_info': "Auth response body",
        # auth_message — сведения о созданной или удаленной ACL-группе
        'auth1': "INSERT INTO auth_acl",
        'auth2': "DELETE FROM auth_acl WHERE",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input1': "POST /auth/v4/acl",
        'input2': "DELETE /auth/v4/acl"
    },
    # Добавление в группу и удаление из группы
    'user_acl_membership': {
        # proxy_message1 — тип запроса (POST /auth/v4/acl/<ID>/user/<ID> — добавление учётной записи в ACL-группу, DELETE /auth/v4/acl/<ID>/user/<ID> — удаление записи из группы)
        'proxy1': "Begin processing request target: '/user/100000/method/POST/target/%2Facl%2F3%2Fuser%2F100007'",
        'proxy2': "Begin processing request target: '/user/100000/method/DELETE/target/%2Facl%2F3%2Fuser%2F100007'",
        # proxy_message2 — сведения об учётной записи, запросившей операцию
        'proxy_info': "Auth roles",
        # auth_message — сведения о созданной или удалённой связи между учётной записью и группой
        'auth1': "INSERT INTO auth_user2acl",
        'auth2': "DELETE FROM auth_user2acl WHERE",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input1': "POST /auth/v4/acl/<ID>/user/<ID>",
        'input2': "DELETE /auth/v4/acl/<ID>/user/<ID>"
    },
    # Удаление активной сессии
    'session_delete': {
        # proxy_message1 — тип запроса (DELETE /auth/v4/session/<ID> — удаление сессии авторизации)
        'proxy1': "Begin processing request target: '/public/global/whoami/method/DELETE/target/%2Fsession%2F10000003'",
        # proxy_message2 — сведения об учётной записи, запросившей операцию
        'proxy2': "Auth response body",
        # auth_message — ID удаляемой сессии
        'auth': "DELETE FROM auth_token WHERE",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "DELETE /auth/v4/session/<ID>"
    },
    # Добавление и удаление SSH-ключа
    'ssh_key_manage': {
        # proxy_message1 — тип запроса (POST /auth/v4/self/sshkey — добавление ключа, DELETE /auth/v4/self/sshkey/<ID> — удаление ключа)
        'proxy1': "Begin processing request target: '/public/global/whoami/method/POST/target/%2Fself%2Fsshkey'",
        'proxy2': "Begin processing request target: '/public/global/whoami/method/DELETE/target/%2Fself%2Fsshkey%2F1'",
        # proxy_message2 — сведения об учётной записи, запросившей операцию
        'proxy_info': "Auth response body",
        # auth_message — сведения о добавляемом или удаляемом ключе
        'auth1': "INSERT INTO auth_user_sshkey",
        'auth2': "DELETE FROM auth_user_sshkey WHERE",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input1': "POST /auth/v4/self/sshkey",
        'input2': "DELETE /auth/v4/self/sshkey/1"
    },
    # Включение и выключение режима обслуживания
    'maintenance_toggle': {
        # proxy_message — тип запроса (POST /server/{server_id} — изменение настроек сервера)
        'proxy': "Begin processing request target: '/server/<ID>",
        # dci_writer_message1 — настройки, переданные в API-запросе
        'dci1': 'RequestBody: {"maintenance":true}',
        'dci2': 'RequestBody: {"maintenance":false}',
        # dci_writer_message2 — внесение изменений в БД
        'dci3': "UPDATE dci_server SET maintenance='1' WHERE id=<ID>",
        'dci4': "UPDATE dci_server SET maintenance='0' WHERE id=<ID>",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/server/<ID>"
    },
    # Блокировка и разблокировка сервера
    'server_suspend_resume': {
        # proxy_message — тип запроса (POST /server/{server_id}/suspend — блокировка сервера, POST /server/{server_id}/resume — разблокировка)
        'proxy1': "Begin processing request target: '/server/<ID>/suspend",
        'proxy2': "Begin processing request target: '/server/<ID>/resume",
        # dci_writer_message — внесение изменений в БД
        'dci1': "UPDATE dci_server SET state='suspending' WHERE id=<ID>",
        'dci2': "UPDATE dci_server SET state='resuming' WHERE id=<ID>",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input1': "POST /dci/v3/server/<ID>/suspend",
        'input2': "POST /dci/v3/server/<ID>/resume"
    },
    # Включение и выключение автоматического изменения порядка загрузки серверов в BIOS/UEFI
    'boot_order_auto_toggle': {
        # proxy_message — тип запроса (POST /setting/operation_change_boot_order — включение или автоматического изменения порядка загрузки)
        'proxy': "Begin processing request target: '/setting/operation_change_boot_order'",
        # dci_writer_message — внесение изменений в БД (value='true' — включение, value='false' — выключение)
        'dci1': "UPDATE isp_settings SET value='true' WHERE name='operation_change_boot_order'",
        'dci2': "UPDATE isp_settings SET value='false' WHERE name='operation_change_boot_order'",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /api/dci/v3/setting/operation_change_boot_order"
    },
    # Изменение механизма или порядка загрузки сервера в BIOS/UEFI
    'bios_boot_settings_change': {
        # proxy_message — тип запроса (POST /server/{server_id} — изменение настроек сервера)
        'proxy': "Begin processing request target: '/server/<ID>",
        # dci_writer_message1 — настройки, переданные в API-запросе
        'dci1': 'RequestBody: {"settings"',
        # dci_writer_message2 — внесение изменений в БД
        'dci2': "UPDATE dci_server SET settings=",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/server/<ID>"
    },
    # Смена основного IP-адреса сервера
    'server_main_ip_change': {
        # proxy_message — тип запроса (POST /server/{server_id} — изменение настроек сервера)
        'proxy': "Begin processing request target: '/server/<ID>",
        # dci_writer_message1 — настройки, переданные в API-запросе
        'dci1': 'RequestBody: {"main_ip',
        # dci_writer_message2 — внесение изменений в БД
        'dci2': "UPDATE dci_server SET main_ip",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/server/<ID>"
    },
    # Создание сетевого подключения
    'switch_connection_create': {
        # proxy_message — тип запроса (POST /server/{server_id}/switch_connection — подключение к коммутатору)
        'proxy': "Begin processing request target: '/server/<ID>/switch_connection'",
        # dci_writer_message1 — настройки, переданные в API-запросе (ID порта)
        'dci1': 'RequestBody: {"switch_port_id"',
        # dci_writer_message2 — внесение изменений в БД
        'dci2': "UPDATE dci_switch_port SET connection_type='server'",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/server/<ID>/switch_connection"
    },
    # Удаление сетевого подключения
    'switch_connection_delete': {
        # proxy_message — тип запроса (DELETE /server/{server_id}/switch_connection — удаление подключения к коммутатору)
        'proxy': "No schema handler for target: DELETE /server/<ID>/switch_connection/<ID>",
        # dci_writer_message — внесение изменений в БД
        'dci': "DELETE FROM dci_server_to_switch_port WHERE id=",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "DELETE /dci/v3/server/<ID>/switch_connection/<ID>"
    },
    # Выдача серверу IP-адреса
    'server_ip_assign': {
        # proxy_message — тип запроса (POST /server/{server_id}/ip — добавление IP-адреса)
        'proxy': "Begin processing request target: '/server/<ID>/ip'",
        # dci_writer_message1 — настройки, переданные в API-запросе (например, ID пула адресов и доменное имя)
        'dci1': 'RequestBody: {"domain"',
        # dci_writer_message2 — внесение изменений в БД
        'dci2': "INSERT INTO dci_server_ip",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/server/<ID>/ip"
    },
    # Редактирование настроек IP-адреса сервера
    'server_ip_edit': {
        # proxy_message — тип запроса (POST /ip/{ip_id} — редактирование IP-адреса)
        'proxy': "Begin processing request target: '/ip/<ID>'",
        # dci_writer_message — внесение изменений в БД
        'dci': "UPDATE dci_server_ip",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/ip/<ID>"
    },
    # Удаление IP-адреса сервера
    'server_ip_delete': {
        # proxy_message — тип запроса (DELETE /server/{server_id}/ip/{ip_id} — удаление IP-адреса)
        'proxy': "No schema handler for target: DELETE /server/12/ip/11",
        # dci_writer_message — внесение изменений в БД
        'dci': "UPDATE dci_server_ip SET status='deleting'",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/ip/<ID>"
    },
    # Редактирование настроек порта коммутатора
    'switch_port_edit': {
        # proxy_message — тип запроса (POST /switch/{switch_id}/port/{port_id} — изменение настроек порта)
        'proxy': "Begin processing request target: '/switch/<ID>/port/<ID>'",
        # dci_writer_message — внесение изменений в БД
        'dci': "UPDATE dci_switch_port",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/switch/<ID>/port/<ID>"
    },
    # Включение и выключение порта коммутатора
    'switch_port_power_toggle': {
        # proxy_message — тип запроса (POST /switch/{switch_id}/port/{port_id}/down — выключение порта, POST /switch/{switch_id}/port/{port_id}/up — включение порта)
        'proxy1': "Begin processing request target: '/switch/<ID>/port/<ID>/down'",
        'proxy2': "Begin processing request target: '/switch/<ID>/port/<ID>/up'",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input1': "POST /dci/v3/switch/<ID>/port/<ID>/down",
        'input2': "POST /dci/v3/switch/<ID>/port/<ID>/up"
    },
    # Включение и выключение порта PDU
    'pdu_port_power_toggle': {
        # proxy_message — тип запроса (POST /pdu/{pdu_id}/port/{port_id}/down — выключение порта, POST /pdu/{pdu_id}/port/{port_id}/up — включение порта)
        'proxy1': "Begin processing request target: '/pdu/<ID>/port/<ID>/down'",
        'proxy2': "Begin processing request target: '/pdu/<ID>/port/<ID>/up'",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input1': "POST /dci/v3/pdu/<ID>/port/<ID>/down",
        'input2': "POST /dci/v3/pdu/<ID>/port/<ID>/up"
    },
    # Включение, выключение и перезагрузка сервера
    'server_power_control': {
        # proxy_message — тип запроса (POST /server/{server_id}/power_off — выключение, POST /server/{server_id}/power_on — включение, POST /server/{server_id}/power_reset — перезагрузка)
        'proxy1': "Begin processing request target: '/server/<ID>/power_on'",
        'proxy2': "Begin processing request target: '/server/<ID>/power_off'",
        'proxy3': "Begin processing request target: '/server/<ID>/power_reset'",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input1': "POST /dci/v3/server/<ID>/power_on",
        'input2': "POST /dci/v3/server/<ID>/power_off",
        'input3': "POST /dci/v3/server/<ID>/power_reset"
    },
    # Редактирование настроек BIOS сервера
    'bios_settings_edit': {
        # proxy_message — тип запроса (POST /ipmi/{ipmi_id}/bios_attr — изменение настроек BIOS)
        'proxy': "Begin processing request target: '/ipmi/17/bios_attr'",
        # dci_writer_message — список редактируемых настроек и их новые значения
        'dci': 'RequestBody: {"attributes"',
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /api/dci/v3/ipmi/17/bios_attr"
    },
    # Создание профиля сервера
    'server_profile_create': {
        # proxy_message — тип запроса (POST /server_profile — создание профиля)
        'proxy': "Begin processing request target: '/server_profile'",
        # dci_writer_message1 — ID локации и параметры профиля
        'dci1': 'RequestBody: {"location":<ID>,"model"',
        # dci_writer_message2 — внесение изменений в БД
        'dci2': "INSERT INTO dci_server_profile",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/server_profile"
    },
    # Редактирование профиля сервера
    'server_profile_edit': {
        # proxy_message — тип запроса (POST /server_profile/{server_profile_id} — изменение настроек профиля)
        'proxy': "Begin processing request target: '/server_profile/<ID>'",
        # dci_writer_message1 — ID потока dci_writer
        'dci1': "dci_writer[<ID>]: request method: POST url: /server_profile/<ID>",
        # dci_writer_message2 — параметры запроса (настройки профиля и их новые значения)
        'dci2': "dci_writer[<ID>]: RequestBody",
        # dci_writer_message3 — внесение изменений в БД
        'dci3': "UPDATE dci_server_profile",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/server_profile/2"
    },
    # Привязка профиля к серверу
    'server_profile_assign': {
        # proxy_message — тип запроса (POST /server/{server_id}/server_profile — изменение привязка профиля)
        'proxy': "Begin processing request target: '/server/<ID>/server_profile'",
        # dci_writer_message1 — параметры запроса (ID профиля)
        'dci1': 'RequestBody: {"server_profile_id"',
        # dci_writer_message2 — внесение изменений в БД
        'dci2': "dci_writer[<ID>]: RequestBody",
        # dci_writer_message3 — внесение изменений в БД
        'dci3': "INSERT INTO dci_server_profile_to_server",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/server/<ID>/server_profile"
    },
    # Применение настроек профиля к серверу
    'server_profile_apply': {
        # proxy_message — тип запроса (POST /server/{server_id}/server_profile/{server_profile_id} — применение профиля)
        'proxy': "Begin processing request target: '/server/<ID>/server_profile/<ID>'",
        # input_message — результат операции и IP-адрес, с которого был отправлен запрос
        'input': "POST /dci/v3/server/<ID>/server_profile/<ID>"
    }
}

while p.poll():
    if j.process() != journal.APPEND:
        continue

    for entry in j:
        message = entry.get('MESSAGE', '')
        matched_event = None

        # Проверяем все события и их шаблоны
        for event_name, patterns in filters.items():
            if any(matches_template(message, pattern) for pattern in patterns.values()):
                matched_event = event_name
                break

        if matched_event:
            timestamp = entry.get('__REALTIME_TIMESTAMP', '')
            print(f"[{matched_event}] {timestamp} {message}")