セキュリティ対策の健康診断、適切なログの収集

iptableのパケットフィルタリングで侵入を予防することも大切ですが、攻撃の兆候を察知して対応するほうが安全性は高まります。

このページでは前回の投稿で設定したログファイルの接頭辞を利用してログファイルを切り分け、適切な期間ログファイルを保持する方法を解説します。

---

目次

rsyslogでiptableのログを振り分け
logrotateによるローテーションの仕組み
logrotateの基本設定とソフトごとの設定
iptablesのローテーションを設定する
rsyslogの再起動と、ローテーションの動作確認

---

rsyslogでiptableのログを振り分け

それではiptableで設定したログの接頭辞をフラグとしてログファイルの切り分けを行います。
rsyslogの設定方法について詳細は「前回の投稿」をご覧ください。

iptableで設定したログファイルの接頭辞は以下の3つでした。

Ping of Death攻撃用

"[IPTABLES PINGATTACK] : "

DNS Amp攻撃用

"[IPTABLES DNSAMP] : "

全ての条件に当てはまらない通信用

"[IPTABLES DROP INPUT] : "

この接頭辞をフラグにrsyslogの設定ファイル「/etc/rsyslog.conf」に「プロパティベースのフィルター」でフィルタリングします。
またログデータはそれぞれ「/var/log/」以下に書きだすものとします。

#### RULES ####

以降に、以下の設定を追記してください。

:msg, contains, "IPTABLES PINGATTACK"    -/var/log/iptables-ping-ataack.log
:msg, contains, "IPTABLES DNSAMP"       -/var/log/iptables-dnsamp.log
:msg, contains, "IPTABLES DROP INPUT"   -/var/log/iptables-input-drop.log

「msg」でログメッセージを指定。
「contains」で一致するパターンに、テキストの一部を指定。
「“hoge”」この部分が一致するテキスト。
「-/dir/」先頭に「ハイフン（-）」を付けることで非同期での書き込みを指定しています。こうすることでサーバへの負荷は劇的に下がります。反面、サーバが停止した直前のログを取り損ねる場合があリます。そのため、サーバの停止に関わるようなログを取得している場合は注意が必要です。

iptablesのログの例と見方

例えば「IPTABLES DROP INPUT」のログの場合は以下の様に出力されます。

Aug 17 15:52:40 example.com kernel: [IPTABLES DROP INPUT] : IN=eth0 OUT= MAC=00:16:3e:4a:04:85:f8:22:ea:d8:34:ff:08:00 SRC=69.171.247.113 DST=111.122.40.105 LEN=71 TOS=0x00 PREC=0x00 TTL=80 ID=4364 PROTO=UDP SPT=19436 DPT=53 LEN=51

Aug 17 15:52:40	日時
example.com	ルータのホスト名
kernel:	kernel からのメッセージであることを示す
[IPTABLES DROP INPUT] :	–log-prefix で指定されたフラグ
IN=eth1 OUT=	データがどちらのネットワークデバイスから入り, どちらから出るかを示す
SRC=69.171.247.113	データの送信元
DST=111.122.40.105	データの宛先
LEN=71 TOS=0x00	その他色々
PREC=0x00 TTL=80 ID=4364	その他色々
PROTO=UDP	TCP or UDP or ICMP]
SPT=19436	送信元ポート
DPT=53	宛先ポート
LEN=51	その他色々

http://www.ep.sci.hokudai.ac.jp/~epdns/dvlop/dhcp/iplog.htmlより

---

logrotateによるローテーションの仕組み

このままだと際限なくログを収集するのでサーバが一杯になってしまします。そこで、logrotateを利用して、ログのローテーションを設定します。ローテーションとは、定められたファイルを利用してログを上書きしていくことです。

図を交えると理解がしやすいと思います。

1周間に1度、2つのファイルを使う場合の例

1週間目、まずは第1週のログを「ファイルlog」に出力

2週間目、まず第1週のログはファイル「log.1」へ改名されます。第2週のログは先週と同じようにファイル「log」へ出力。

3週間目、同じように新しいログを出力しますが、ファイル「log.1」に出力された第1週のログは破棄される。

このように同じファイルをローテーションして使うことで、ログを保存する期間を限定して、ログの肥大化を防ぐことができます。また、ログの閲覧性が向上するというメリットもあります。

ローテーションのことを世代管理と呼ぶこともあります。

---

logrotateの基本設定とソフトごとの設定

RedHat系OSではデフォルトでインストールされており、設定ファイルは「/etc/logrotate.conf」にインストールされています。
設定方法は単純で解りやすい構造になっています。

# see "man logrotate" for details
# rotate log files weekly
weekly

# keep 4 weeks worth of backlogs
rotate 4

# create new (empty) log files after rotating old ones
create

# uncomment this if you want your log files compressed
#compress

# RPM packages drop log rotation information into this directory
include /etc/logrotate.d

# no packages own wtmp -- we'll rotate them here
/var/log/wtmp {
    monthly
    minsize 1M
    create 0664 root utmp
    rotate 1
}

3行目「weekly」は1週間で書き換え。毎日はdaily、毎月はmonthly
6行目「rotate 4」は4世代のファイルを使用。つまりファイルの保存期間は1週間。4世代保存。つまり1ヵ月分のログを保存という設定になっています。
9行目「create」はファイルが存在しない場合に新しいファイルを作成。
12行目「#compress」は圧縮。コメントアウトされているので圧縮を有効にする場合はコメントアウトを削除してください。
15行目「include /etc/logrotate.d」はソフトごとの設定ファイルの保存場所を指定します。つまり、この設定ファイルが全体の基本設定で、ソフトごとの設定は「/etc/logrotate.d」に作成する、ことになります。
18行目「/var/log/wtmp{ … }」これは「/var/log/wtmp」に対する処理を個別に設定しています。

設定に利用できるコマンドは以下のとおりです。

compress	ローテーションしたログをgzipで圧縮
copytruncate	ログファイルをコピーし、内容を削除
create [パーミッション ユーザー名 グループ名]	ローテーション後に空のログファイルを新規作成。ファイルのパーミッション、ユーザー名、グループ名を指定可能
daily	ログを毎日ローテーションする
delaycompress	ログの圧縮作業を次回のローテーション時まで遅らせる。compressと共に指定
ifempty	ログファイルが空でもローテーションする
missingok	ログファイルが存在しなくてもエラーを出さずに処理を続行
monthly	ログを毎月ローテーションする
nocompress	ローテーションしたログを圧縮しない
nocreate	新たな空のログファイルを作成しない
nomissingok	ログファイルが存在しない場合にエラーを出す
noolddir	ローテーション対象のログと同じディレクトリにローテーションしたログを格納
notifempty	ログファイルが空ならローテーションしない
olddir [ディレクトリ名]	指定したディレクトリ内にローテーションしたログを格納
postrotate～endscript	postrotateとendscriptの間に記述されたコマンドをログローテーション後に実行
prerotate～endscript	postrotateとendscriptの間に記述されたコマンドをログローテーション前に実行
rotate 回数	ローテーションする回数を指定
size [ファイルサイズ]	ログファイルが指定したファイルサイズ以上になったらローテーションする
sharedscripts	複数指定したログファイルに対し、postrotateまたはprerotateで記述したコマンドを実行
weekly	ログを毎週ローテーションする

＠ITからlogrotateの設定ファイルで指定できる主なコマンドより

個別の設定ファイルsyslogの場合

それでは個別の設定ファイルについても見ていきます。今回はsyslog用の設定を取り上げます。通常は「/etc/logrotate.d/syslog」にあります。

/var/log/messages /var/log/secure /var/log/maillog /var/log/spooler /var/log/boot.log /var/log/cron {
    sharedscripts
    postrotate
        /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
    endscript
}

「/etc/logrotate.conf」と同じ構造です。1行目、スペース区切りで複数のログファイルが指定されています。
ローテーションなどの設定はされていないので、「/etc/logrotate.conf」の基本設定で動作していることがわかります。

2行目「sharedscripts」は以下のスクリプトを一度だけ実行するという意味です。

3～5行目「postrotate」から「endscript」の間に実行するスクリプトを記述します。

4行目は、ログファイルによくある特殊なスクリプトです。入り組んだ構造で分かりにくいスクリプトですが、せっかくなので詳しく解説します。

「/bin/kill -HUP プロセスID」は設定ファイルの読み込みを意味します。なぜ設定を読み込み直すかというと、新しいローテート用のファイルに書き込むためです。ちなみにHUPシグナルはreloadでも送られるので、rcスクリプトで定義されていればreloadでも構いません。

「同じファイルをローテーションして使うんじゃないの？」と思うかもしれませんが、その辺の詳しい話はこちらのサイトで詳しく解説されています。

「cat /var/run/syslogd.pid」でプロセスIDを取得しています。

続く「2>」は標準エラー出力を意味していて、後に続くファイルに標準エラーを出力するという意味になリます。

「/dev/null」は空ファイルを意味しています。「空ファイルに書き出す=捨てる」という意味になります。
つまり「`」で囲まれた部分は「cat /var/run/syslogd.pid」の出力エラーを破棄するという意味になります。

さらに「2> /dev/null」と続くのは「/bin/kill -HUP プロセスID」に関するエラーを捨てるという設定です。

さらに続けて「|| true」となっているので、エラーの場合も処理を続行します。

要約すると「HUPシグナルでソフトを再読み込みするがエラが出力されても全て破棄。再読み込みの成否に関わらず、処理は続行。」という意味になります。

ファイルの有効期限について

ソフトごとの設定で注意しないといけないのが、ファイルの有効期限です。ソフトごとの設定ファイルで「day」と設定しても、基本設定である「/etc/logrotate.conf」で「weekly」となっていると1週間ごとにしかファイルは更新されません。

なぜかというと、logrotateの実行はcronで行っているからです。そのため「/etc/logrotate.conf」で「weekly」とすると、cronがlogrotateを1週間ごとに実行します。そのため、ソフトごとの設定ファイルの場所を示す「include /etc/logrotate.d」の行も1週間ごとに読み込まれます。
logrotateはソフトごとの設定にある「day」を「前回ログファイルを作成してから1日以上経っていたら実行」と評価します。

そのため「/etc/logrotate.conf」の実行間隔はローテーションしたい期間が最も短いログファイルに合わせる必要があります。

---

iptablesのローテーションを設定する

それではいよいよiptablesの設定ファイルを作成します。

/var/log/iptables-dnsamp.log /var/log/iptables-forward-drop.log /var/log/iptables-input-drop.log /var/log/iptables-ping-attack.log {
	weekly
	rotate 4
	create
	postrotate
		/etc/init.d/iptables reload > /dev/null 2> /dev/null || true
	endscript
}

それぞれのログファイルのパスをスペース区切りで指定して、HUPの代わりにreloadで再読み込みをしています。実行間隔は1週間、ローテーションは4回。つまり1ヵ月分のログを保存する設定になっています。

---

rsyslogの再起動と、ローテーションの動作確認

以上の設定が終わったら、rsyslogを再起動して設定を有効にします。

# service rsyslog restart

すると指定したディレクトリ（上の例では/var/log/以下）にログファイルが作成されているはずです。

また念の為に自動起動が有効になっているか調べておいてください。

rsyslogの自動起動を確認
# chkconfig --list rsyslog
以下のように3番がonになっていれば自動起動は有効です。
rsyslog           0:off   1:off   2:on    3:on    4:on    5:on    6:off

有効でない場合は以下のコマンドで有効にしておいてください。

# chkconfig rsyslog on

ローテートされているか確認

logrotateはcronで実行されるため、自動起動を設定する必要はありません。しかしcronで実行されるまで動作確認ができないと不便です。テストのために以下のコマンドを実行してください。

# /usr/sbin/logrotate /etc/logrotate.conf

そしてローテートされたステータスを表示します。このファイルには前回ログファイルが作成された日時とパスが記載されています。

# cat /var/lib/logrotate.status
…
"/var/log/iptables-input-drop.log" 2013-11-13
"/var/log/iptables-ping-death.log" 2013-11-13
"/var/log/iptables-ping-attack.log" 2013-11-13

iptablesのログファイルのパスと日時があると思います。
このままでも1週間後にファイルが更新されますが、日時を編集してローテーションさせることもできます。

viで直接ファイルを編集して、日時を10日程度巻き戻してください。11月13日なら11月3日に変更。

# vi /var/lib/logrotate.status
"/var/log/iptables-input-drop.log" 2013-11-3
"/var/log/iptables-ping-death.log" 2013-11-3
"/var/log/iptables-ping-attack.log" 2013-11-3

そして再びlogrotateを実行します。

# /usr/sbin/logrotate /etc/logrotate.conf

指定したディレクトリ「/var/log/」に「ログファイル名.1」というファイルが作成されていることを確認してください。

---

これでiptablesの設定とログファイルの書き出し。
さらにログファイルのローテンションの設定という一連の流れは終了です。