「コンテンツベースアラート。重要なログを見逃さない！」syslog-ng Store Box活用連載企画vol.13

コンテンツベースアラート設定例(検索ページ)

螺子です。syslog-ng Store Box(SSB)のコンテンツベースアラートは、ログを数秒間隔で自動検索して検索式に一致した場合にアラートメールを送信することができます。

これにより、重要なログあるいは定期的にチェックしているログの発生を検知し、それらのログを見逃すリスクを低減できます。

コンテンツベースアラートは、コンテンツベースアラートの送信先を設定し、2つの方法(「検索インターフェースでのアラート設定」あるいは「[Content-Based Alerts]ページでのアラート設定」)によりアラート設定を行えます。

今回は、コンテンツベースアラートを設定し、アラートメールを送信してみます。

アラートターゲット(アラート送信先)設定

まず、コンテンツベースアラートの送信先を設定します。

1. [Policies]>[Alert targets]に移動します。
2. +ボタンをクリックして、設定画面を開きます。
3. アラートターゲット名を入力し、[Target email address]フィールドにアラートメールの送信先アドレスを入力します。[Cooldown period]には、次のアラートメールが送信されるまでの間隔(秒)を指定します(注意：間隔(秒)の最小値は60です。この間隔内のアラートが送信されます)。
4. [Commit]をクリックして、設定を保存します。

図1. [Alert targets]設定例

※[Basic Settings]>[Management]の[Mail settings]セクションでメールサーバーが適切に設定されている必要があります。

検索インターフェースでのアラート設定

次に、コンテンツベースアラートの条件を設定します。1つ目は検索インターフェースからの設定です。

1. [Search]>[Logspaces]に移動します。
2. [Logspace]ドロップダウンリストからログを検索するログスペースを選択します。
3. [Search expression]フィールドに、検索式を入力します。
4. [Search]ボタンをクリックして、検索結果を出力します。
5. をクリックします。
6. [Logspace]と[Search expression]フィールドの値は既に設定済みになります。
7. [Alert name]にアラート名を入力し、[Targets]フィールドに、送信先(上述で設定したアラートターゲット)を選択します。
8. [Create alert]をクリックして、設定を保存します。

図2. 検索インターフェースでのコンテンツベースアラート設定例

[Content-Based Alerts]ページでのアラート設定

2つ目は、コンテンツベースアラート設定ページ([Search]>[Content-Based Alerts])で直接設定を行います。

1. [Search]>[Content-Based Alerts]に移動します。
2. +ボタンをクリックして、設定画面を開きます。
3. コンテンツベースアラート名を入力し、[Search expression]フィールドにメッセージの検索式を入力します。
4. [Logspace]ドロップダウンリストからログを検索するログスペースを選択します。
5. [Alert targets]セクションで送信先(上述で設定したアラートターゲット)を選択します。
6. [Commit]をクリックして、設定を保存します。

図3.[Content-Based Alerts]ページでの設定例

コンテンツベースアラート送信メール例

コンテンツベースアラートに設定したメッセージが指定したログスペースに受信されると、以下のようなアラートメールが送信されます。

図4.コンテンツベースアラートメール受信例

Alert: There were at least 10 matches between Fri 11 Dec 2020 17:00:23 JST and Fri 11 Dec 2020 17:00:31 JST on
 * logspace: "center"
 * alert: "content-alert"
 * search expression: "host:win-it2jgkb304e AND Administrator"

To review these matches on your SSB appliance, see:
https://ssb600/index.php?_backend=SearchLogspace#logspace_name=center&from=1607673623&to=1607673631&search_expression=host%3Awin-it2jgkb304e%20AND%20Administrator

Note: You will not receive a new alert message for a cooldown period of 10 minutes for this alert.

コンテンツベースアラートメールに記載された、URLにアクセスすると検知したログメッセージがリストされている検索ページが開きます。

図6. リンク先表示例

※URLはホスト名を使用しています。DNSで名前解決できない場合、クライアントのhostsファイルにホスト名と対応するIPアドレスを記述してください。

参考資料

コンテンツベースアラートの詳細については、syslog-ng Store Box6 LTS管理者ガイドの「12.4 コンテンツベースアラートの作成」をご覧ください。

いかがでしたでしょうか。重要なログあるいは定期的にチェックしているログの発生を検知してアラートを送信することができました。

それでは、次回の連載記事をお楽しみに！

SSBは、高信頼ログ管理アプライアンスです。様々なデバイスおよびアプリケーションからログメッセージを収集、分類、フィルタリング、正規化して安全に保存可能です。ログデータの信頼性を担保し、膨大なログが発生する高負荷環境、あるいはログロストが許されない企業・組織のログ管理に最適です。