搜索

[12829] 2018-06-15_SOC日志收集实践：企业邮件服务日志收集

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-06-15_SOC日志收集实践：企业邮件服务日志收集 S O C 日 志 收 集 实 践 ： 企 业 邮 件 服 务 日 志 收 集 x s e c u r i t y   F r e e B u f   2 0 1 8 - 0 6 - 1 5 0 x 0 1 . 概 要 背 景 概 要 背 景 这 次 我 们 举 个 接 近 实 际 生 产 的 例 子 ， 来 说 明 开 源 这 次 我 们 举 个 接 近 实 际 生 产 的 例 子 ， 来 说 明 开 源 S O C 系 统 如 何 采 集 数 据 ， 如 果 之 前 介 绍 系 统 是 抽 象 的 ， 现 在 就 系 统 如 何 采 集 数 据 ， 如 果 之 前 介 绍 系 统 是 抽 象 的 ， 现 在 就 是 实 例 具 象 的 。 平 时 我 们 利 用 日 志 系 统 收 集 了 大 量 的 各 类 的 日 志 数 据 ， 如 ： 是 实 例 具 象 的 。 平 时 我 们 利 用 日 志 系 统 收 集 了 大 量 的 各 类 的 日 志 数 据 ， 如 ： O p e n r e s t y 访 问 日 志 、 防 护 墙 日 访 问 日 志 、 防 护 墙 日 志 、 志 、 V P N 日 志 、 邮 件 服 务 器 相 关 日 志 、 用 户 权 限 审 计 日 志 、 路 由 器 操 作 日 志 、 甚 至 包 括 办 公 区 日 志 、 邮 件 服 务 器 相 关 日 志 、 用 户 权 限 审 计 日 志 、 路 由 器 操 作 日 志 、 甚 至 包 括 办 公 区 A P 的 日 的 日 志 ， 志 ， D H C P 日 志 。 日 志 。 这 些 不 能 一 一 列 举 ， 如 果 要 选 出 一 个 比 较 典 型 的 日 志 收 集 例 子 ，   企 业 邮 件 的 日 志 收 集 可 以 作 为 例 子 。 遍 布 国 内 相 关 业 务 城 市 ， 都 有 员 工 使 用 邮 件 服 务 ， 企 业 邮 件 服 务 是 一 种 基 础 服 务 ， 在 运 营 的 过 程 中 我 们 遇 到 用 户 相 关 各 种 问 题 的 出 现 ， 不 能 第 一 时 间 取 得 更 多 用 户 一 手 的 现 场 问 题 资 料 ，   通 过 分 析 用 户 日 志 ， 可 以 找 出 问 题 的 发 生 当 点 ， 可 能 引 起 的 问 题 根 因 。 还 可 以 得 用 日 志 系 统 数 据 ： 解 决 I P 异 地 登 陆 检 查 ， 未 备 案 设 备 暴 力 破 解 账 号 ， 账 号 被 锁 自 动 提 醒 ， 管 理 员 操 作 审 计 等 有 之 相 关 的 功 能 操 作 ， 这 一 切 都 是 建 立 在 ， 构 建 日 志 收 集 系 统 前 提 下 ， 如 果 没 日 志 系 统 ， 这 些 数 据 和 相 应 功 能 实 现 不 了 。 0 x 0 2 . 架 构 业 务 架 构 业 务 我 们 整 体 上 要 理 解 业 务 架 构 和 运 作 原 理 ， 才 能 有 针 对 性 的 收 集 相 关 日 志 的 数 据 ， 遇 到 问 题 时 ， 可 以 通 过 有 效 的 日 志 数 据 指 导 问 题 的 解 决 。 一 直 以 来 都 想 找 到 一 种 比 较 好 的 表 达 方 式 来 说 明 ， 企 业 邮 件 系 统 的 构 成 ， 那 种 方 式 比 较 简 单 明 了 ？ 找 到 了 上 面 这 种 系 统 切 面 图 方 式 ， 用 2 . 5 D 的 展 示 方 法 ， 展 示 从 用 户 邮 件 客 户 端 ， 到 最 后 取 得 邮 件 的 整 个 系 统 间 的 数 据 处 理 流 程 。 如 图 所
示 ， 我 们 从 整 体 上 把 系 统 交 互 分 成 6 个 切 片 ， 两 次 域 名 解 析 ， 两 次 负 载 均 衡 ，   并 且 第 二 次 从 m a i _ s e r v e r . c o m 解 析 到 具 体 的 邮 件 服 务 器 时 ， 可 以 不 使 用 负 载 部 署 方 案 ， 使 用 D N S 轮 询 的 方 式 。 如 果 采 用 负 载 的 方 式 ， 一 台 机 器 挂 掉 也 可 以 把 流 量 负 载 到 其 它 机 器 上 ， 备 机 也 可 以 正 常 工 作 ， 不 受 影 响 。   如 果 使 用 域 名 轮 询 解 析 的 方 案 ， 因 为 没 有 探 活 机 制 ， 需 要 在 此 之 外 建 立 报 警 机 制 ， 一 定 发 现 一 台 邮 件 服 务 器 挂 掉 就 要 去 掉 到 这 机 器 的 域 名 解 析 。 m a i l _ s e r v e r . c o m 在 此 处 由 一 个 内 部 的 域 名 解 析 服 务 解 析 ， 邮 件 服 务 器 可 部 署 在 公 司 机 房 ， 这 种 情 况 使 用 n a t 或 是 d r 模 式 的 负 载 均 衡 ， 可 以 缓 解 需 要 手 动 更 改 域 名 解 析 的 尴 尬 ， 一 旦 出 现 问 题 不 需 要 太 多 人 工 干 预 ， 这 种 根 本 机 制 上 解 决 了 服 务 的 稳 定 性 。 0 x 0 3 . 系 统 原 理 切 片 描 述 系 统 原 理 切 片 描 述 我 们 简 述 一 下 这 6 个 系 统 交 互 切 片 的 含 义 。 第 1 层 .   邮 件 客 户 端 ： 用 户 收 发 邮 件 使 用 的 邮 件 客 户 端 程 序 。 像 E x c h a n g e 这 种 邮 件 服 务 都 支 持 针 对 P C 端 口 和 移 动 手 机 端 的 区 分 针 对 性 配 置 。 第 2 层 . 域 名 解 析 ： 上 面 也 说 过 ， 这 个 系 统 有 两 次 负 载 均 衡 ， 有 两 次 域 名 解 析 ， 问 题 是 为 什 么 有 两 个 域 名 ， m a i l _ p r o x y . c o m 和 m a i l _ s e r v e r . c o m ，   m a i l _ s e r v e r . c o m 是 真 正 的 邮 件 服 务 器 的 域 名 ， 在 内 网 中 可 以 直 接 访 问 ， 在 某 些 场 景 下 ， 我 们 希 望 在 外 网 的 员 工 也 可 以 访 问 邮 件 服 务 ， 这 时 我 们 就 用 一 个 基 于 O p e n r e s t y 的 代 理 服 务 ， 部 署 内 网 邮 件 服 务 的 代 理 系 统 ， 将 外 网 域 名 反 代 指 向 内 网 的 m a i l _ s e r v e r . c o m 。 出 于 安 全 考 虑 ， 我 们 在 服 务 器 上 添 加 了 的 用 户 设 备 I D 的 限 制 ， 让 那 些 没 有 在 册 的 设 备 不 可 以 直 接 通 过 m a i l _ p r o x y . c o m ， 这 个 代 理 访 问 内 网 的 m a i l _ s e r v e r . c o m 域 名 进 行 邮 件 收 发 。 并 且 一 旦 手 机 发 生 丢 失 的 情 况 下 ， 去 掉 丢 失 自 己 的 设 备 I D 授 权 ， 被 盗 手 机 有 用 户 名 和 密 码 ， 也 不 能 正 常 使 用 邮 箱 服 务 ， 并 且 我 们 还 可 在 代 理 服 务 器 上 限 速 ， 限 制 附 件 大 小 。 这 些 的 出 发 点 都 是 为 了 安 全 出 发 。 第 3 层 . m a i l _ p r o x y . c o m 的 v i p 负 载 均 衡 ： 为 了 多 点 备 份 ， 我 们 在 解 析 m a i l _ p r o x y . c o m 时 ， 对 应 解 析 了 三 个 机 房 的 V I P ， 三 个 机 房 对 应 三 个 不 同 运 营 商 的 线 路 ， 优 化 线 路 后 ， 让 用 户 的 访 问 效 率 更 高 。 然 后 把 对 应 运 营 商 线 路 的 请 求 负 载 到 3 台 不 同 的 邮 件 代 服 务 器 上 ， 三 台 机 器 ， 其 中 一 两 台 服 务 器 挂 掉 ， 也 不 会 影 响 邮 件 代 理 的 整 体 运 作 服 务 。 第 4 层 . m a i l _ s e r v e r . c o m 域 名 解 析 ： 前 三 层 的 服 务 并 没 用 直 正 的 涉 及 到 邮 件 服 务 器 的 核 心 服 务 器 ， 从 各 个 域 名 解 析 m a i l _ s e r v e r . c o m 开 始 ， 下 面 都 是 邮 件 服 务 相 关 的 服 务 ， 从 m a i l _ s e r v e r . c o m 解 析 到 真 实 的 邮 件 服 务 器 有 两 种 方 式 ， 如 上 所 述 ， 第 一 种 是 域 名 解 析 轮 询 ， 另 一 种 就 是 加 负 载 均 衡 层 。 第 5 层 . 邮 件 负 载 均 衡 与 邮 件 真 实 服 务 器 ： 如 果 我 在 内 网 机 房 ， 使 用 基 于 t c p 协 议 的 负 载 均 衡 ， 一 旦 遇 到 机 房 或 是 服 务 本 身 的 原 因 造 成 一 台 服 务 断 掉 也 不 会 影 响 整 体 邮 件 服 务 。 第 6 层 . 邮 件 ： 经 过 前 面 阶 段 的 处 理 才 能 到 真 实 地 的 邮 件 ， 其 实 还 有 更 深 的 一 层 交 互 没 有 在 图 上 画 出 来 就 是 附 件 服 务 器 ， 正 常 的 邮 件 服 务 ， 还 会 配 置 2 或 是 3 台 邮 件 附 件 服 务 。 0 x 0 4 . 关 键 的 日 志 数 据 收 集 关 键 的 日 志 数 据 收 集
在 整 个 系 统 的 层 次 上 ， 很 多 服 务 器 都 会 相 应 的 产 生 日 志 数 据 ，   刨 除 负 载 均 衡 的 日 志 数 据 ， 我 们 真 正 关 心 的 是 真 实 服 务 器 的 产 生 的 日 志 ( R e a l   S e r v e r ) ， 这 些 日 志 的 收 集 才 能 完 成 最 开 始 概 要 里 所 的 那 些 功 能 ： 1 . 邮 件 代 理 服 务 器 日 志 ： 代 理 服 务 器 使 用 的 是 基 于 O p e n r e s t y 的 反 向 代 量 服 务 器 。 其 中 最 主 要 的 日 志 ， 其 实 就 是 W E B 访 问 日 志 。 日 志 形 式 ： 形 式 上 可 以 是 标 准 文 本 格 式 ， 也 可 以 是 J S O N 格 式 。 日 志 协 议 ： 可 以 使 用 s y s l o g 协 议 直 接 发 送 J S O N 形 式 的 日 志 到 s y s l o g 服 务 器 ， 也 可 以 通 过 c a t k a f k a 将 J S O N 文 体 推 送 到 K a f k a 队 列 上 。 s y s l o g 方 式 ： c a t k a f k a 方 式 发 送 ： 2 . 邮 件 服 务 器 日 志 ： 邮 件 服 务 的 日 志 种 类 相 对 就 比 较 多 了 ， 1 . E x c h a n g e   I I S 日 志 。 2 . E x c h a n g e   S e r v e r 系 统 日 志 。 3 . I M A P 邮 件 协 议 日 志 。 4 . P O P 3 邮 件 协 议 日 志 。 5 . 管 理 员 审 计 日 志 。 因 为 邮 件 服 务 器 是 基 于 W i n d o w s 的 ， 所 以 我 们 有 一 种 日 志 发 送 方 案 是 使 用 n x l o g 发 送 客 户 端 代 理 服 务 ， 把 邮 件 服 务 器 上 系 统 日 志 和 文 本 文 件 日 志 发 送 到 s y s l o g 服 务 器 上 。 典 型 n x l o g 发 送 文 本 日 志 配 置 举 例 ， 以 下 ：
0 x 0 5 . 日 志 的 收 集 与 转 存 日 志 的 收 集 与 转 存 之 前 我 们 说 的 都 是 系 统 构 成 和 日 志 的 普 通 形 式 的 存 储 ， 而 这 次 比 较 特 别 的 是 ， 我 们 将 日 志 通 过 n x l o g 这 种 s y s l o g 日 志 发 送 代 理 发 送 数 据 到 s y s l o g   s e r v e r ，   再 由 s y s l o g   s e r v e r 转 发 到 g r a y l o g 的 s y s l o g   u d p 监 听 。 再 由 G r a y l o g 收 集 发 送 过 来 的 文 本 存 到 E S 中 ， 因 为 E S 的 索 引 是 有 生 命 周 期 的 ， 可 以 指 定 邮 件 日 志 的 存 活 时 间 ， 比 如 说 某 个 指 定 时 间 长 度 ， 然 后 数 据 被 挥 发 掉 ， 释 放 出 来 的 空 间 存 放 新 的 日 志 。 但 同 时 ， 当 G r a y l o g 收 到 日 志 的 同 时 ， 通 过 G r a y l o g   K a f k a 的 O u t p u t 插 件 ， 可 以
把 数 据 复 制 转 发 到 K a f k a 上 ， 然 后 由 K a f k a 消 费 者 程 序 ， 消 费 这 些 日 志 数 据 复 制 一 份 到 C l i c k h o u s e 中 ，   只 要 服 务 运 转 良 好 ， 没 人 天 灾 人 祸 ， 服 务 不 被 莫 名 重 装 、 机 房 空 调 温 度 不 过 高 、 R a i d 硬 盘 不 坏 ， 网 络 不 抖 ， 数 据 就 会 安 然 的 保 存 住 。 1 . S y s l o g N G 服 务 器 ： S y s l o g 服 务 器 在 那 种 数 据 需 要 落 地 ， 并 且 数 据 需 要 转 发 的 场 景 ， 是 必 选 服 务 ， G r a y l o g 也 可 以 打 开 u d p 监 听 ， 但 不 会 保 存 文 本 文 件 到 本 地 ， 直 接 存 到 了 e s 里 。 2 . G r a y l o g 服 务 ： 如 果 说 S u p e r s e t 是 C l i c k h o u s e 的 灵 魂 伴 侣 ， G r a y l o g 也 是 E S 一 个 很 好 应 用 ， G r a y l o g 可 以 轻 松 开 启 各 种 数 据 监 听 服 务 ， 当 然 也 包 括 U D P   S y s l o g 日 志 监 听 。 并 且 ， G r a y l o g 是 内 置 了 K a f k a 队 列 和 M o n g o D B ， 简 化 了 E L K 系 统 的 构 件 成 本 。 3 . K a f k a 队 列 ：   当 数 据 量 特 别 大 的 时 候 ， 用 队 列 缓 存 数 据 （ Q u e u e ） ， 上 图 的 K a f k a ， 其 实 是 为 C l i c k h o u s e 写 入 数 据 服 务 的 ， 我 们 用 G r a y l o g 把 日 志 数 据 推 到 K a f k a 上 ， 相 当 于 把 到 G r a y l o g 里 的 日 志 数 据 ， 复 制 C l i c k H o u s e 上 一 份 ， 只 是 这 个 存 的 动 作 ， 是 由 后 续 的 消 费 程 序 插 入 数 据 完 成 的 ， C l i c k h o u s e 里 的 日 志 数 据 可 以 存 的 时 间 较 长 ， S Q L 聚 合 的 效 率 也 更 高 。 4 . C l i c k h o u s e 数 据 库 ： C l i c k H o u s e 的 效 率 强 大 的 令 人 发 指 ， 我 们 可 以 用 C l i c k h o u s e 操 作 上 亿 的 数 据 量 。 0 x 0 6 . 如 何 拿 到 数 据 如 何 拿 到 数 据 之 前 介 绍 都 是 ， 如 何 把 邮 件 代 理 的 数 据 存 到 G r a y l o g 和 C l i c h o u s e 里 ， 后 续 的 操 作 就 是 针 对 数 据 的 分 析 操 作 。 1 . 数 据 输 入 处 理 ：   对 于 我 们 的 分 析 模 块 程 序 来 说 ， 有 两 个 强 大 的 数 据 源 ， G r a y l o g 和 C l i c k h o u s e ，   G r a y l o g 提 供 R E S T 查 询 服 务 ， C l i c k h o u s e 提 供 多 种 访 问 驱 动 ， p y t h o n , j a v a , c + + ， g o 的 数 据 驱 动 都 有 。 2 . 黑 白 名 单 处 理 ：   这 个 是 业 务 处 理 ， 我 们 在 同 时 的 威 胁 情 报 处 理 中 ， 一 定 会 遇 到 很 多 的 误 盼 和 数 据 噪 音 ，   使 用 黑 白 名 单 机 制 可 以 改 善 噪 音 对 我 们 的 影 响 。 对 于 企 业 邮 箱 的 日 志 服 务 来 说   ， 最 重 要 的 白 名 单 管 理 ， 其 实 是 在 n g i n x 中 ， 对 特 定 用 户 设 备 的 限 制 管 理 ， 这 个 和 本 文 无 关 ， 不 表 。 3 . 威 胁 检 查 ： 核 心 威 胁 分 析 策 略 模 块 （ 略 ） 。 如 果 邮 箱 服 务 ， 可 以 通 过 数 据 分 析 ， 分 析 出 账 号 被 锁 用 户 是 谁 ， 正 在 爆 破 邮 箱 的 人 谁 ，   密 码 错 误 ， 恶 意 提 交 访 问 请 是 谁 ， 等 等 操 作 。 最 近 ， 当 我 们 面 临 D D O S 攻 击 时 ， 基 于 C l i c k h o u s e 构 建 监 控 分 析 策 略 ， 可 以 敏 捷 的 应 临 时 监 控 统 计 需 求 ， 只 要 前 期 有 数 据 ， 构 建 分 析 策 略 速 度 经 人 。 而 C l i c k h o u s e 操 作 其 数 据 很 简 单 ， 以 下 举 例 ， 具 体 复 杂 度 看 后 续 需 求 。 d o c k e r 客 户 端 ： P y t h o n 客 户 端 ：
新 版 的 C l i c k h o u s e 加 入 了 更 强 大 的 功 能 ， 而 我 们 驱 动 如 此 大 的 数 据 库 引 擎 ， 只 需 要 区 区 几 行 代 码 ， 大 大 的 提 高 安 全 人 员 的 生 产 率 。 4 . 数 据 输 出 处 理 ： 我 们 可 以 通 过 s y s l o g 协 议 和 C l i c k h o u s e ， 对 经 过 处 理 的 数 据 ， 再 转 存 回 去 。 并 且 ， 有 很 多 可 视 化 软 件 和 B I 处 理 程 序 对 数 据 源 数 据 进 行 分 析 和 展 示 。 0 x 0 7 . 总 结 总 结 上 文 介 绍 的 内 容 中 ， 关 于 服 务 器 负 载 均 衡 、 W E B 服 务 器 与 客 户 端 数 据 采 集 、 E S 到 C l i c k h o u s e 迁 移 数 据 ， 这 些 都 可 以 到 F r e e b u f 中 找 到 更 具 体 的 文 章 。 至 此 ， 不 同 以 住 ， 我 们 介 绍 了 更 真 实 的 日 志 存 储 的 案 例 。 生 产 环 境 中 ， 我 们 存 储 了 海 量 的 日 志 数 据 ， 用 邮 件 的 例 子 是 因 为 邮 件 的 业 务 相 对 好 理 解 ， 不 涉 及 到 更 多 的 术 语 业 务 ， 而 关 于 数 据 A g e n t 分 类 及 部 署 方 式 。 G r a y l o g 的 高 级 使 用 技 巧 ， C l i c k h o u s e 聚 合 数 据 ， 这 些 软 件 实 际 操 作 使 用 ， 后 续 介 绍 ， 那 些 让 人 意 想 不 到 飘 逸 操 作 ， 让 数 据 分 析 更 高 效 ， 强 大 的 工 具 将 我 们 从 繁 重 的 脑 力 劳 动 中 解 救 出 来 ， 这 也 是 我 们 可 以 战 胜 普 通 猿 人 以 及 北 京 猿 人 ， 成 为 智 人 的 原 因 之 一 ， 放 弃 香 蕉 ， 从 树 上 下 来 ， 我 们 学 会 了 使 用 工 具 。 *   本 文 作 者 ： 本 文 作 者 ： x s e c u r i t y ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理