| Оглавление |
|---|
| Информация | ||
|---|---|---|
| ||
|
| Информация |
|---|
| Для успешной работы системы протоколирования для событий аудита необходимо провести дополнительную начальную настройку сервера и агента. |
Настройка сервера
Для настройки севера нужно импортировать шаблон шаблоны Astra, для чего перейти в Настройки - Шаблоны и нажать кнопку "Импорт":
Далее загрузить файл, нажав на кнопку "Обзор" и выбрав нужный шаблон по пути /usr/share/zabbix/conf/zabbix_astra_template.xml
Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6)В случае установленного Astra Linux в режиме безопасости "Смоленск" или "Воронеж" повторить последнее действие для шаблона zabbix_astra_parsec_template.xml по тому же пути.
После этого можно добавить новый шаблон (новые шаблоны) к узлу сети.
Перейти в Настройки - Узлы сети, выбрать нужный узел и перейти в шаблоныAstra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6)
Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6)Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6)
Выбрать шаблон "Template Astra Linux", нажав "Выбрать", указав группу "Astra clients", и добавить его к узлу, нажав "Добавить"
Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6)
шаблоны
Нажав "Выбрать" в группе узлов сети "Astra clients" выбрать шаблоны "Template Astra Linux" и Template Astra Linux Parsec (в случае "Воронеж" и "Смоленск"), и добавить их к узлу, нажав "Добавить"
После чего обновить конфигурацию с помощью кнопки "Обновить"
Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6)
Настройка агентаНастройка агента
В конфигурационном файле агента /etc/zabbix/zabbix_agentd.conf, в строке строках Server и ServerActive и ServerActive указать IP-адрес (доменное имя) сервера;
в строке Hostname указать имя агента (должно совпадать с указанным на сервере агентом):
| Блок кода | ||||
|---|---|---|---|---|
| ||||
### Option: Server
# List of comma delimited IP addresses, optionally in CIDR notation, or hostnames of Zabbix servers.
# Incoming connections will be accepted only from the hosts listed here.
# If IPv6 support is enabled then '127.0.0.1', '::127.0.0.1', '::ffff:127.0.0.1' are treated equally and '::/0' will allow any IPv4 or IPv6 address.
# '0.0.0.0/0' can be used to allow any IPv4 address.
# Example: Server=127.0.0.1,192.168.1.0/24,::1,2001:db8::/32,zabbix.domain
#
# Mandatory: no
# Default:
# Server=
Server=10.0.0.23
### Option: ServerActive
# List of comma delimited IP:port (or hostname:port) pairs of Zabbix servers for active checks.
# If port is not specified, default port is used.
# IPv6 addresses must be enclosed in square brackets if port for that host is specified.
# If port is not specified, square brackets for IPv6 addresses are optional.
# If this parameter is not specified, active checks are disabled.
# Example: ServerActive=127.0.0.1:20051,zabbix.domain,[::1]:30051,::1,[12fc::1]
#
# Mandatory: no
# Default:
# ServerActive=
ServerActive=10.0.0.23
### Option: Hostname
# Unique, case sensitive hostname.
# Required for active checks and must match hostname as configured on the server.
# Value is acquired from HostnameItem if undefined.
#
# Mandatory: no
# Default:
# Hostname=
Hostname=sudcm |
Запустить юнит plog и добавить его в автозагрузку:
| Command |
|---|
systemctl enable plogsystemctl start plog |
После этого события аудита будут видны через мониторинг на zabbix-сервере
Настройка запуска скрипта по триггеру
Пример мониторинга свободного места на клиенте и, при остатке менее 10%, запуска скрипта logrotate на клиенте на примере агента sudcm
На сервере
Создать элемент данных, перейдя в Настройка - Узлы сети - sudcm - Элементы данных и нажав кнопку "Создать элемент данных":
| Блок кода | ||
|---|---|---|
| ||
Имя: Free space in %
Тип: Zabbix агент (активный)
Ключ: vfs.fs.size[/,pfree]
Тип информации: Числовой (с плавающей точкой)
Интервал обновления: 10s |
Создать триггер для этого элемента, перейдя в Настройка - Узлы сети - sudcm - Триггеры и нажав кнопку "Создать триггер"
(сработает при остатке свободного места меньше 10%):
| Блок кода | ||
|---|---|---|
| ||
Имя: free_space
Важность: Предупреждение
Выражение: {sudcm:vfs.fs.size[/,pfree].last(,10)}<10 |
И добавить его, нажав кнопку "Добавить" внизу формы:
Создать действие, перейдя в Настройка - Действия и нажав кнопку "Создать действие":
| Блок кода | ||
|---|---|---|
| ||
Имя: my_script
Условия: Триггер = sudcm:free_space
Операции:
Детали:
Шаги 1 - 1
Длительность шага: 0
Тип операции: Удаленная команда
Список целей: Узел сети: sudcm
Тип: Пользовательский скрипт
Команды: /usr/sbin/logrotate -f /etc/logrotate.d/ |
На агенте
Важно, что бы на агенте в конфигурационном файле был задан параметр EnableRemoteCommands=1
| Блок кода | ||||
|---|---|---|---|---|
| ||||
### Option: EnableRemoteCommands # Whether remote commands from Zabbix server are allowed. List of comma delimited IP addresses, optionally in CIDR notation, or hostnames of Zabbix servers. # Incoming connections will be accepted only from the hosts listed here. # If IPv6 support is enabled then '127.0.0.1', '::127.0.0.1', '::ffff:127.0.0.1' are treated equally and '::/0' will allow any IPv4 or IPv6 address. # '0.0.0.0/0' can be used to allow any IPv4 address. # Example: Server=127.0.0.1,192.168.1.0/24,::1,2001:db8::/32,zabbix.domain # # Mandatory: no # Default: # Server= Server=10.0.0.23 # 0 - not allowed ### Option: ServerActive # 1List -of allowedcomma delimited IP:port (or hostname:port) pairs of Zabbix servers for active checks. # If port is not specified, default port is used. # IPv6 addresses must be enclosed in square brackets if port for that host is specified. # If port is not specified, square brackets for IPv6 addresses are optional. # # If this parameter is not specified, active checks are disabled. # Example: ServerActive=127.0.0.1:20051,zabbix.domain,[::1]:30051,::1,[12fc::1] # # Mandatory: no # Mandatory: no # Default: # Default: EnableRemoteCommands=1 |
| Блок кода | ||
|---|---|---|
| ||
### Option: LogRemoteCommands # ServerActive= # Enable logging of executed shell commands as warnings. # 0 - disabled ServerActive=10.0.0.23 ### Option: Hostname # Unique, case sensitive hostname. # 1 - enabled # Required for active checks and must match hostname as configured on the server. # Value is acquired from HostnameItem if undefined. # # # Mandatory: no # MandatoryDefault: no # Hostname= # Default: Hostname=sudcm |
Внести пользователя zabbix в группу adm командой:
| Блок кода | ||||
|---|---|---|---|---|
| ||||
sudo usermod -aG LogRemoteCommands=1 |
adm zabbix |
Перезапустить zabbix-agent командой:
| Блок кода | ||||
|---|---|---|---|---|
| zabbix ALL=NOPASSWD: /usr/sbin/logrotate||||
systemctl restart zabbix-agent |
После этого события аудита будут видны через мониторинг на zabbix-сервере
