Centralisation logs Graylog / Syslog
Collecte et analyse des logs pour améliorer la traçabilité et la sécurité.
Contexte du projet
Avec plusieurs serveurs et équipements réseau, la centralisation des logs devenait indispensable pour diagnostiquer rapidement les incidents et assurer un suivi de sécurité. Graylog a été retenu pour sa capacité d'indexation et de recherche.
Cadre : Graylog + OpenSearch/MongoDB, collecte Syslog et GELF.
Outils et technologies
Livrables
Objectifs du projet
Architecture et schémas
Graylog centralise les événements vià des inputs Syslog/GELF. OpenSearch stocke les indices, MongoDB gère la configuration. Les serveurs Linux envoient leurs journaux via rsyslog, et les hôtes Windows via NXLog.
Architecture de collecte
Points de collecte configurés
Étapes d'implémentation
Difficultés rencontrées
Solutions appliquées
Résultats et captures
Voici ce que j'ai obtenu une fois Graylog mis en place et les machines connectées.
Tableau de bord
J'ai créé un tableau de bord qui affiche en temps réel le nombre de logs reçus par machine, leur type (info, avertissement, erreur) et leur évolution sur les dernières 24 h. Ca permet de voir d'un coup d'œil si quelque chose ne va pas sur un serveur.
Recherche dans les logs
Graylog permet de faire des recherches rapides dans tous les logs. Par exemple, j'ai pu filtrer uniquement les erreurs d'un serveur précis pour retrouver la cause d'un incident, sans avoir à ouvrir chaque fichier log à la main.
Tri des logs par catégorie
J'ai mis en place des flux (streams) pour séparer automatiquement les logs : un pour les serveurs Linux, un pour les machines Windows, et un pour les événements liés à la sécurité (connexions, erreurs d'accès). Chaque flux a son propre espace de stockage.
Règles de traitement
J'ai configuré des règles pour modifier les logs à leur arrivée : extraire automatiquement le nom d'utilisateur dans les logs SSH, et marquer les tentatives de connexion échouées pour les retrouver plus facilement lors d'une recherche.
Alertes automatiques
J'ai configuré une alerte qui se déclenche si plusieurs tentatives de connexion échouées se produisent rapidement sur le même serveur. Une autre alerte prévient si un service important s'arrête de façon inattendue.