logcheck: una herramienta para monitorear la actividad del registro del sistema Linux
Logcheck es un paquete de software que está diseñado para ejecutar y verificar automáticamente los archivos de registro del sistema en busca de violaciones de seguridad y actividad inusual, utiliza un programa llamado logtail que recuerda la última posición que leyó del archivo de registro.
Puede usarse de varias formas, desde analizar la seguridad o la actividad inusual en el syslog, hasta monitorear los archivos de registro de Apache en busca de errores causados por scripts PHP u otros problemas. De forma predeterminada, comprobará los archivos de registro cada hora y, si se detecta algún problema, enviará un correo electrónico al administrador con la información del archivo de registro.
Instalar logcheck
La instalación de esta utilidad es simple ya que está incluida en el repositorio estable en distribuciones Debian / Ubuntu Linux, todo lo que necesita hacer es usar el comando apt-get para instalarlo así:
# apt-get install logcheck
Esto instalará automáticamente la herramienta y todas sus dependencias o puede descargar la versión logcheck-1.1.2.tar.gz de sourceforge. Lo primero que tendrá que hacer es cambiar la dirección de correo electrónico a la que la utilidad enviará correos electrónicos en /etc/logcheck/logcheck.conf usando su editor de texto favorito, modifique REPORTLEVEL al nivel que desee (la estación de trabajo es menos detallada, servidor es el predeterminado, y paranoid es muy detallado) y SENDMAILTO a su dirección de correo electrónico de esta manera:
# vim /etc/logcheck/logcheck.conf
Configuración
Los archivos de configuración se pueden encontrar en el directorio / etc / logcheck, después de configurar el correo y el nivel de informe, el siguiente paso que debe tomar es mirar /etc/logcheck/logcheck.files, este archivo contiene una lista de archivos de registro para ser monitoreado, cada archivo de registro debe estar en una línea separada como esta:
Ahora la utilidad verificará esos archivos de registro cada hora y, si algo está mal, enviará un informe por correo electrónico que se verá así:
logcheck funciona usando los archivos en /etc/logcheck/ignore.d.server (o cualquier otro nivel de informe que seleccione) para verificar los archivos de registro, si encuentra líneas que no coinciden con las reglas en los archivos ignorados, lo hará inclúyalos en el informe por correo electrónico como un problema potencial. Informará de cualquier cosa inusual en los archivos de registro, desde errores del disco duro, intentos fallidos de autenticación y problemas del kernel.