GrayLog配置SSH暴力破解攻擊日誌告警並推送到釘釘機器人

點擊上方"walkingcloud"關注，並選擇"星標"公眾號

GrayLog配置SSH暴力破解攻擊日誌告警並推送到釘釘機器人

接上一篇文章，【實踐】GrayLog4.2使用webhook成功推送日誌告警到釘釘群機器人，在前面的基礎上進行優化和功能探索

1、webhook啟動設置優化

由於webhook默認埠為9000，與GrayLog Web埠衝突，所以建議使用其它埠

firewall-cmd --add-port=8080/tcp --permanent --zone=public 
firewall-cmd --reload
mkdir /var/lib/webhook
(圖片可點擊放大查看)
設置webhook服務開機自啟動
vi /usr/lib/systemd/system/webhook.service 
[Unit]
Description=Webhook service
After=network.target

[Service]
Type=simple
User=root
Group=root
LimitNOFILE=1024

Restart=on-failure
RestartSec=10
startLimitIntervalSec=60

WorkingDirectory=/var/lib/webhook
ExecStart=/opt/webhook -hooks /opt/hooks.json -port 8080 -verbose

# make sure log directory exists and owned by syslog
StandardOutput=syslog
StandardError=syslog
SyslogIdentifier=webhookd

[Install]
WantedBy=multi-user.target
(圖片可點擊放大查看)
systemctl enable webhook.service 
systemctl start webhook.service
systemctl status webhook.service
(圖片可點擊放大查看)
2、配置HTTP告警類型
http://192.168.31.127:8080/hooks/push2dingtalk
(圖片可點擊放大查看)
(圖片可點擊放大查看)
3、設置GrayLog Alert告警
我使用聚合結果到達閥值的方式Aggregation of results reaches a threshold
關鍵字「failed password" ,查詢窗口為1分鐘內超過6次就產生告警
(圖片可點擊放大查看)
(圖片可點擊放大查看)
(圖片可點擊放大查看)
4、測試
比如對主機192.168.31.232進行SSH暴力破解測試
 watch -n 1 "hydra -l root -p admin@123 192.168.31.232 ssh"
(圖片可點擊放大查看)
這時理論上應該會發送釘釘機器人告警，但未收到
一度以為是配置哪裡出問題了，在這個問題上卡了很久 
最終查看graylog服務日誌
tail -f /var/log/graylog-server/server.log 

2021-12-21T20:20:32.369+08:00 ERROR [PivotAggregationSearch] Aggregation search query <streams-query-1> returned an error: Elasticsearch exception [type=illegal_argument_exception, reason=maxSize must be >= 0 and < 2147483631; got: 2147483647].
ElasticsearchException{message=Search type returned error: , errorDetails=[]}
(圖片可點擊放大查看)
根據這個報錯在官方論壇上找到答案了
https://community.graylog.org/t/elasticsearch-pivotaggregationsearch-errors-after-upgrade-to-4-1-es-7-14/21006
(圖片可點擊放大查看)
5、解決辦法:升級Elasticsearch至7.16.2版本
https://mirrors.cloud.tencent.com/elasticstack/7.x/yum/7.16.2/elasticsearch-7.16.2-x86_64.rpm

rpm -Uvh elasticsearch-7.16.2-x86_64.rpm 
systemctl daemon-reload
systemctl restart elasticsearch.service 
(圖片可點擊放大查看)
6、接下來就可以正常收到釘釘機器人告警
(圖片可點擊放大查看)
(圖片可點擊放大查看)
                

給小編加雞腿！😂