389DS Access.log parsing - transformando o tipo de pedido LDAP em um evento de auditoria

Question

Alguém criou o código para analisar o arquivo access.log do 389 Directory Server com o objetivo de gerar eventos de auditoria baseados no tipo de solicitação LDAP. Bascially, tome a seqüência do log

[21/Apr/2007:11:39:51 -0700] conn=11 fd=608 slot=608 connection from 207.1.153.51 to 192.18.122.139
[21/Apr/2007:11:39:51 -0700] conn=11 op=0 BIND dn="cn=Directory Manager" method=128 version=3
[21/Apr/2007:11:39:51 -0700] conn=11 op=0 RESULT err=0 tag=97 nentries=0 etime=0
[21/Apr/2007:11:39:51 -0700] conn=11 op=1 SRCH base="dc=example,dc=com" scope=2 filter="(uid=bjensen)"
[21/Apr/2007:11:39:51 -0700] conn=11 op=1 RESULT err=0 tag=101 nentries=1 etime=1000 notes=U
[21/Apr/2007:11:39:51 -0700] conn=11 op=2 UNBIND
[21/Apr/2007:11:39:51 -0700] conn=11 op=2 fd=608 closed - U1

E transforme isso em um evento de auditoria com

uma data / hora (21 / Abr / 2007: 11: 39: 51 -0700), uma localização do cliente (207.1.153.51), localização do servidor (192.18.122.139), um usuário (cn = Directory Manager), um eventos (SRCH) e metadados de eventos de (query - base="dc = exemplo, dc = com" scope = 2 filtro="(uid = bjensen)", tamanho do conjunto de resultados - 1, timetaken = 1000 seg, etc)

O script logconv.pl parece fazer todo tipo de análise, mas nenhuma representação de evento.

Obrigado antecipadamente

    

Answer 1

Eu tive um caso de uso semelhante ao seu, mas não consegui encontrar nada que já existisse. Então me deparei com esta página de 389ds que descreve um esboço de como um script como esse produzir. A solução proposta foi incluir essa funcionalidade em versões futuras do logconv.pl.

Por enquanto, acabei escrevendo um programa simples que segue esse design. Eu tenho usado em produção em um número de 389ds servidores de saída dos resultados JSON para uma pilha ELK usando o log-courier.

Espero que isso seja útil para você.