Categoria: Seguretat
Centralització de logs amb Graylog o OpenSearch: registres consultables i conservats
Els registres de servidors, aplicacions, tallafocs i núvols en un únic lloc, amb camps normalitzats, cerques ràpides i una retenció que podeu justificar davant d'una auditoria.
- On es munta
- Al vostre compte, a nom vostre
- Còpies
- Amb restauració provada
- Actualitzacions
- Planificades i documentades
- Llicència
- Graylog Open: SSPL. OpenSearch: Apache 2.0
En resum
Centralitzar logs és portar els registres de tots els vostres sistemes a un únic lloc on es poden cercar, conservar i vigilar. Ho muntem amb Graylog, que afig fluxos, regles de processament i alertes sobre OpenSearch, o directament amb OpenSearch i els seus panells. Ens encarreguem de la recollida, la normalització, la retenció, les còpies, el monitoratge de la ingesta i les actualitzacions, al vostre compte.
De què ens encarreguem?
Tindre els registres repartits per cada servidor funciona fins al dia que cal reconstruir què va passar: el servidor ja va rotar els seus arxius, el del núvol guardava set dies o l’atacant va esborrar el que el delatava. Un sistema central ho evita, sempre que algú el mantinga:
Recollida
Agents i entrades syslog xifrades des de servidors, contenidors, xarxa i núvol.
Normalització
Regles que extrauen els mateixos camps de fonts diferents per a cercar d’una vegada.
Emmagatzematge
Índexs d’OpenSearch dimensionats, amb rotació i retenció per tipus de registre.
Ingesta vigilada
Alertes quan una font calla, quan es dispara el volum o quan la cua d’entrada creix.
Còpies i arxiu
Snapshots a emmagatzematge d’objectes i restauració de prova d’índexs antics.
Accessos
Inici de sessió únic, rols per equip i registre de les consultes.
Quina arquitectura recomanem?
En Graylog, la peça que rep i processa és el servidor de Graylog, que guarda la seua configuració en MongoDB, i la que emmagatzema és OpenSearch, que el Data Node de Graylog instal·la i gestiona per vosaltres. Sense Graylog, els agents envien a OpenSearch i el processament es fa en ells o en una capa intermèdia. En tots dos casos, la ingesta passa per un punt amb cua per a no perdre registres si l’emmagatzematge va lent.
| Situació | El que muntem | Per què |
|---|---|---|
| Desenes de servidors i un equip xicotet | Graylog i Data Node en un node, amb snapshots fora | Tot en un producte, senzill d’operar |
| Volum alt o retenció llarga | Graylog en dos nodes i OpenSearch en tres o més | L’emmagatzematge és el que més creix |
| Ja teniu OpenSearch o un servei gestionat | Fluent Bit o Vector cap a OpenSearch i els seus panells | Aprofita el que hi ha, sense una altra capa |
L’operació del clúster de cerca en si, amb memòria, shards i actualitzacions, l’expliquem en Elasticsearch i OpenSearch gestionats.
Quins problemes trobem més sovint?
- Fonts que van deixar d’enviar fa setmanes sense que ningú se n’adonara.
- Tot en un índex: registres de depuració i d’auditoria amb la mateixa retenció i els mateixos permisos.
- Camps diferents per a la mateixa cosa: la IP d’origen s’anomena de cinc maneres i cap cerca no les ajunta.
- Disc ple: sense retenció, el magatzem deixa d’acceptar registres just en el pitjor moment.
- Syslog sense xifrar ni autenticar travessant xarxes que no són vostres.
- Dades personals o secrets en els registres que ningú no va revisar abans de guardar-los durant mesos.
Com fem les còpies i les actualitzacions?
La configuració de Graylog viu en MongoDB, que copiem a part; les regles i els fluxos també queden exportats al vostre repositori. Els índexs es copien amb snapshots a un emmagatzematge d’objectes, i de tant en tant en restaurem un d’antic en un entorn a part per a comprovar que es pot consultar. Per a actualitzar, seguim l’ordre i les versions compatibles que publica Graylog entre servidor, MongoDB i OpenSearch, assagem abans en proves i revisem que les regles de processament continuen produint els mateixos camps.
Per a qui té sentit?
- Una empresa que prepara una auditoria i necessita demostrar que conserva i protegeix els registres d’accés i de canvis.
- Un equip tècnic amb molts servidors i serveis que perd temps entrant per SSH a cada màquina per a llegir registres.
- Qui ja té un SIEM i vol guardar el context complet durant més temps i amb menys cost.
Per a la detecció d’amenaces sobre aquests mateixos sistemes, mireu Wazuh gestionat. Si el que necessiteu són registres d’aplicació juntament amb les mètriques, hi encaixa millor el monitoratge amb Grafana i Prometheus, amb Loki.
Com protegim els mateixos registres?
Un sistema de logs guarda justament el que un atacant voldria esborrar o llegir. Els agents envien per TLS, el panell no s’exposa a internet i s’hi entra amb inici de sessió únic. Cada equip veu només els seus fluxos o índexs, i les consultes queden registrades. Els snapshots van a un emmagatzematge d’objectes en un altre compte, amb bloqueig d’objectes si el proveïdor l’ofereix, perquè no es puguen esborrar des de la plataforma. Abans de guardar res, revisem amb el vostre equip quins camps porten dades personals o secrets i els filtrem o emmascarem a l’entrada.
- FontsServidors, xarxa, núvol
- AgentsFluent Bit, Vector o syslog TLS
- GraylogEntrades, regles i fluxos
- OpenSearchÍndexs amb retenció
- ArxiuSnapshots a S3
On ho muntem?
Al vostre compte, al proveïdor que ja feu servir o al que encaixe millor. Si les dades s'han de quedar a la UE, Hetzner i OVHcloud són les opcions europees.
Proveïdors on ho muntem
- Hetzner
- AWS
- Google Cloud
- Azure
- OVH
- Servidor propi
| Proveïdor | Com ho muntem | A tindre en compte |
|---|---|---|
| Hetzner | Servidors cloud o dedicats per a Graylog i els nodes de dades, amb discos NVMe i snapshots en Object Storage de Hetzner. | Molt de disc per poc cost, que és el que més demana un sistema de logs. |
| AWS | Graylog en EC2 o Amazon OpenSearch Service com a magatzem, amb lectura de CloudTrail, VPC Flow Logs i CloudWatch Logs. | Si només hi ha registres d'AWS, de vegades n'hi ha prou amb CloudWatch Logs ben organitzat; ho valorem abans. |
| Google Cloud | Compute Engine amb Graylog o OpenSearch i exportació de Cloud Logging mitjançant Pub/Sub. | |
| Azure | Màquines virtuals amb Graylog o OpenSearch i lectura dels registres d'activitat i de Microsoft Entra ID a través d'Event Hubs. | |
| OVH | Instàncies de Public Cloud o dedicats amb Graylog i OpenSearch, o l'OpenSearch gestionat d'OVHcloud com a magatzem. | |
| Servidor propi | Graylog i OpenSearch en els vostres servidors o màquines virtuals, rebent de tota la xarxa interna. | El sistema de logs no hauria de viure en la mateixa màquina que vigila: si la comprometen, es perd l'evidència. |
Què inclou
- Graylog amb el seu Data Node, o OpenSearch amb OpenSearch Dashboards, al vostre compte i dimensionat per al vostre volum diari.
- Recollida des de servidors Linux i Windows, contenidors, equips de xarxa i registres del vostre núvol, amb agents o syslog sobre TLS.
- Normalització de camps (origen, usuari, IP, acció, resultat) per a cercar igual en registres de fonts diferents.
- Fluxos o índexs separats per tipus de registre, amb la seua retenció i els seus permisos.
- Retenció pactada per escrit: uns mesos consultables i més temps arxivat en emmagatzematge d'objectes.
- Alertes sobre la mateixa ingesta: fonts que deixen d'enviar, pics anòmals, disc i cues d'entrada.
- Còpies de la configuració i snapshots dels índexs, amb restauració provada.
- Accés per inici de sessió únic, rols per equip i registre de qui consulta què.
Preguntes freqüents
Això és el mateix que Wazuh?
No. Wazuh és un SIEM: els seus agents busquen amenaces, revisen configuracions i vigilen la integritat d'arxius. Un sistema de logs centralitzat guarda i permet cercar tots els registres, també els que no són de seguretat, com els d'aplicació o els de xarxa. Moltes vegades conviuen: Wazuh detecta i Graylog o OpenSearch conserven el context complet.
Graylog o OpenSearch amb els seus panells?
Graylog aporta el que cal per a operar els registres cada dia: entrades per a quasi qualsevol format, regles de processament, fluxos amb permisos i alertes. OpenSearch amb OpenSearch Dashboards és més flexible i totalment Apache 2.0, però el processament l'heu de resoldre abans, en els agents. Si voleu un producte llest per a l'equip, Graylog; si ja treballeu amb OpenSearch, els seus panells.
Què passa amb la llicència de Graylog?
Graylog Open es publica amb la llicència SSPL, que no està aprovada per l'OSI com a codi obert. Per a usar-lo dins de la vostra empresa no suposa cap problema; la seua restricció afecta qui ofereix Graylog com a servei a tercers. Algunes funcions, com l'arxivament integrat, són de les edicions de pagament, i us diem abans si alguna us faria falta.
Quant de temps cal guardar els logs?
Depén de les vostres obligacions legals, contractuals i del vostre sector, i no ho decidim nosaltres. L'habitual és separar un període curt consultable a l'instant i un altre de més llarg en emmagatzematge d'objectes, més barat. El que pactem queda escrit i aplicat amb polítiques d'índexs, perquè el disc no decidisca per vosaltres.
No seria més senzill Loki?
Per a registres d'aplicació que es consulten juntament amb les mètriques, moltes vegades sí. Loki indexa només etiquetes, ocupa poc i encaixa amb Grafana. Per a cerques lliures per qualsevol camp, informes d'auditoria o permisos per tipus de registre, Graylog o OpenSearch responen millor.
Expliqueu-nos el vostre cas
En una trucada gratuïta de 20 minuts veiem on sou i per on començar. Sense compromís.
Documentació oficial consultada
Les dades tècniques d'aquesta pàgina es basen en:
Revisat el