[ulogd] log iptables sur mysql! [howto inside]

log iptables sur mysql! [howto inside] [ulogd] - réseaux et sécurité - Linux et OS Alternatifs

Marsh Posté le 02-05-2003 à 22:07:13    

hello
j'essaye de bien installer ulogd pour pouvoir logger mes iptables dans par exemple du mysql,
j'aimerais savoire si quelqu'un l'a déjà fait et s'il peut me filer un coup de main ?
 
 
merci beaucoup:jap::jap:


Message édité par k666 le 02-05-2003 à 23:10:05
Reply

Marsh Posté le 02-05-2003 à 22:07:13   

Reply

Marsh Posté le 02-05-2003 à 22:43:48    

jowile!!! j'ai réussi à le faire marcher :)
je logue tout par contre :/ donc moyen :) mais la je le masterise!
si t'as besoin d'un coup de main dis moi!

Reply

Marsh Posté le 02-05-2003 à 22:45:09    

chtit exemple à l'appui:
 


 
 
    id      raw_mac      oob_time_sec      oob_time_usec      oob_prefix      oob_mark      oob_in      oob_out      ip_saddr      ip_daddr      ip_protocol      ip_tos      ip_ttl      ip_totlen      ip_ihl      ip_csum      ip_id      ip_fragoff      tcp_sport      tcp_dport      tcp_seq      tcp_ackseq      tcp_window      tcp_urg      tcp_urgp      tcp_ack      tcp_psh      tcp_rst      tcp_syn      tcp_fin      udp_sport      udp_dport      udp_len      icmp_type      icmp_code      icmp_echoid      icmp_echoseq      icmp_gateway      icmp_fragmtu      pwsniff_user      pwsniff_pass      ahesp_spi
Modifier  
 1  00:09:5b:33:7d:1a:00:30:ab:1a:ee:e7:08:00  1051914659  270250     0  eth0     2898063087  3232235524  6  0  111  112  5  12607  32240  16384  4662  52749  1790439640  3308452881  17605  NULL  NULL  1  1  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL
Modifier  
 2  00:09:5b:33:7d:1a:00:30:ab:1a:ee:e7:08:00  1051914659  325273     0  eth0     1379950257  3232235524  6  0  245  100  5  15093  6401  0  4662  52748  2772747255  3305725527  46528  NULL  NULL  1  1  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL
Modifier  
 3  00:09:5b:33:7d:1a:00:30:ab:1a:ee:e7:08:00  1051914659  410293     0  eth0     1379954416  3232235524  6  0  118  1326  5  33981  63791  16384  3492  4662  2876625576  1564980909  65305  NULL  NULL  1  1  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL
Modifier  
 4  00:09:5b:33:7d:1a:00:30:ab:1a:ee:e7:08:00  1051914659  429276     0  eth0     2898063087  3232235524  6  0  111  117  5  12592  32250  16384  4662  52749  1790439700  3308452881  17605  NULL  NULL  1  1  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL
Modifier  
 5  00:09:5b:33:7d:1a:00:30:ab:1a:ee:e7:08:00  1051914659  440274     0  eth0     1049884184  3232235524  6  0  118  40  5  14527  54968  16384  3035  4662  2322672996  2352721855  65535  NULL  NULL  1  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL  NULL

Reply

Marsh Posté le 02-05-2003 à 22:48:02    

nlgroup 1
logfile /var/log/ulogd.log
loglevel 5
bufsize 65535
plugin /usr/lib/ulogd/ulogd_BASE.so
syslogfile /var/log/ulogd.syslogemu
syslogsync 1
plugin /usr/lib/ulogd/ulogd_LOGEMU.so
dumpfile /var/log/ulogd.pktlog
mysqltable ulog
mysqlpass ulogduser
mysqluser ulogduser
mysqldb ulogd
mysqlhost localhost
plugin /usr/lib/ulogd/ulogd_MYSQL.so
 
 
 
edit: viré des lignes inutiles


Message édité par k666 le 02-05-2003 à 22:51:11
Reply

Marsh Posté le 02-05-2003 à 22:49:29    

je pense que tu as créé tes tables mysql et que t'as donné les droits à ulogduser (c le nom que je lui ai donné)
 
pis apreès quand tu tapes ta ligne iptables t'as bien mis le nlgroup correspondant ?
moi j'ai tapé ça:
 
 
iptables -A INPUT -j ULOG --ulog-nlgroup 1
 
 
pis ca ma tout logué !!!

Reply

Marsh Posté le 02-05-2003 à 22:51:26    

grillaid :p

Reply

Marsh Posté le 02-05-2003 à 23:06:10    

alors pour ceux qui voudraient essayer:
 
 
installer ulogd avec support mysql, c partout documenté :/ donc bonne chance, pour les chanceux sous :love:gentoo:love:  
 
USE="mysql" emerge ulogd
 
 
créer une db dans mysql appelée ulogd:
 
create database ulogd;
 
 
ajouter un utilisateur par exemple
 
ulogduser
 
puis son password  
 
ulogduser
 
 
granter les privilèges pour la DB donnée (c à dire ulogd)
 
puis creer une table ulog dans cette DB:
(vous pouvez sélectionner, la les champs qui vous interessent en particulier)
 
CREATE TABLE `ulog` (
 `id` int(10) unsigned NOT NULL auto_increment,
 `raw_mac` varchar(80) default NULL,
 `oob_time_sec` int(10) unsigned default NULL,
 `oob_time_usec` int(10) unsigned default NULL,
 `oob_prefix` varchar(32) default NULL,
 `oob_mark` int(10) unsigned default NULL,
 `oob_in` varchar(32) default NULL,
 `oob_out` varchar(32) default NULL,
 `ip_saddr` int(10) unsigned default NULL,
 `ip_daddr` int(10) unsigned default NULL,
 `ip_protocol` tinyint(3) unsigned default NULL,
 `ip_tos` tinyint(3) unsigned default NULL,
 `ip_ttl` tinyint(3) unsigned default NULL,
 `ip_totlen` smallint(5) unsigned default NULL,
 `ip_ihl` tinyint(3) unsigned default NULL,
 `ip_csum` smallint(5) unsigned default NULL,
 `ip_id` smallint(5) unsigned default NULL,
 `ip_fragoff` smallint(5) unsigned default NULL,
 `tcp_sport` smallint(5) unsigned default NULL,
 `tcp_dport` smallint(5) unsigned default NULL,
 `tcp_seq` int(10) unsigned default NULL,
 `tcp_ackseq` int(10) unsigned default NULL,
 `tcp_window` smallint(5) unsigned default NULL,
 `tcp_urg` tinyint(4) default NULL,
 `tcp_urgp` smallint(5) unsigned default NULL,
 `tcp_ack` tinyint(4) default NULL,
 `tcp_psh` tinyint(4) default NULL,
 `tcp_rst` tinyint(4) default NULL,
 `tcp_syn` tinyint(4) default NULL,
 `tcp_fin` tinyint(4) default NULL,
 `udp_sport` smallint(5) unsigned default NULL,
 `udp_dport` smallint(5) unsigned default NULL,
 `udp_len` smallint(5) unsigned default NULL,
 `icmp_type` tinyint(3) unsigned default NULL,
 `icmp_code` tinyint(3) unsigned default NULL,
 `icmp_echoid` smallint(5) unsigned default NULL,
 `icmp_echoseq` smallint(5) unsigned default NULL,
 `icmp_gateway` int(10) unsigned default NULL,
 `icmp_fragmtu` smallint(5) unsigned default NULL,
 `pwsniff_user` varchar(30) default NULL,
 `pwsniff_pass` varchar(30) default NULL,
 `ahesp_spi` int(10) unsigned default NULL,
 UNIQUE KEY `id` (`id`),
 KEY `index_id` (`id`)
) TYPE=MyISAM;
 
 
 
 
ok je vous conseille de faire un FLUSH PRIVILEGES; dans mysql pour que les priv soient mis à jour.... puis,
 
essayez de vous connecter en tant que ulogduser à votre table et d'y insérer éventuellement des données, comme ça vous verrez si tout va bien....
 
exemplle:
 
root@kpoman log # mysql -u ulogduser -p
Enter password:  
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 70 to server version: 4.0.12-log
 
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.
 
mysql> use ulogd;
Reading table information for completion of table and column names
You can turn off this feature to get a quicker startup with -A
 
Database changed
mysql> insert into ulog (raw_mac) values ('pouetproutmiam';);
Query OK, 1 row affected (0.00 sec)
 
mysql>    
 
 
 
ensuite éditer
 
/etc/ulogd.conf
 
moi ça donne ça:
 
nlgroup 1
logfile /var/log/ulogd.log
loglevel 5
bufsize 65535
plugin /usr/lib/ulogd/ulogd_BASE.so
syslogfile /var/log/ulogd.syslogemu
syslogsync 1
plugin /usr/lib/ulogd/ulogd_LOGEMU.so
dumpfile /var/log/ulogd.pktlog
mysqltable ulog
mysqlpass ulogduser
mysqluser ulogduser
mysqldb ulogd
mysqlhost localhost
plugin /usr/lib/ulogd/ulogd_MYSQL.so
 
 
 
puis maintenant, faire un chtit test assez violent d'ailleurs :)
 
iptables -A INPUT -j ULOG --ulog-nlgroup 1  
 
 
normalement ca devrait loguer tout ce qui passe en input :)
 
 
apreès evidemment virez ce truc paske ca va vous exploser le dur :) pis c parti pour savoir qui c ke méchant qui veut vous hacker !!!


Message édité par k666 le 02-05-2003 à 23:12:12
Reply

Marsh Posté le 19-05-2003 à 13:02:56    

hum... je vois pas trop ce que tu veux dire par préfixe ? à quel niveau ? pourquoi ?

Reply

Marsh Posté le 19-05-2003 à 22:50:26    

:drapo:

Reply

Marsh Posté le 19-05-2003 à 23:54:22    

JoWile je pense que ton probleme c que tu as la poisse, ça arrive à des gens des fois, et ya rien àa faire ça dure toute la vie :o

Reply

Marsh Posté le 19-05-2003 à 23:54:22   

Reply

Marsh Posté le 20-05-2003 à 10:31:07    

Je peux poser une bete question?  
 
 
Bon....
 
 
 
j'ai une difficulté a comprendre un truc...
 
que logguez vous?  
 
Car si on dis qu'on drop le paquet on s'en fout de logguer...
Et si on laisse ouvert... ben... c'est pour laisser ouvert non? Donc on s'en fout aussi de logguer?  
 
C'sdt peut etre un peu bete mais bon... :)  
 
 

Reply

Marsh Posté le 20-05-2003 à 10:45:28    

yes :) en fait soit tu peux tout dropper, soit tu peux dropper en cherchant qui c'est qui essaye de te faire mal, et c ske tu fais quand tu loggues, mais de là à faire quelque chose apreès ... enfin bon, ca peut etre utile pour une boite par exemple, pour voir si elle se fait hacker la gueule etC... c le principe meme du log!

Reply

Marsh Posté le 20-05-2003 à 11:17:26    

ok :) merci bcp, c'est ce que je pensais :)  
 
 
Je vais peut etre penser a logguer mes bazard aussi alors ;)
 
 
 
merci

Reply

Marsh Posté le 25-05-2003 à 17:14:09    

JoWiLe a écrit :

man iptables
 
quand tu log, tu peux mettre un prefix, c'est une string qui décrit ce que tu loges
 
et le prefixe est aussi une option de ulog
 
 
 
 
 
sinon ça marche pas chez moi... j'ai mis iptables -P INPUT ACCEPT et iptables -A INPUT -j ULOG --ulog-nlgroup 1 et j'ai rien, que ce soit dans le syslogemu ou dans la base
 
ça me saoule :/


 
Je viens d'avoir le même problème sur ma Woody, j'ai compilé/packagé les sources de la version unstable de ulogd et maintenant tout marche  :)  
 
C'est bien un bug Debian :
 
http://bugs.debian.org/cgi-bin/bug [...] bug=169481

Reply

Marsh Posté le 21-07-2003 à 13:53:37    

Je viens de rencontrer le même problème. Sur le bugreport, on peut y lire, vers la fin :
 


Hi,
 
I just downloaded sid's source and dpkg-buildpackage'd it for my woody -
ulogd now works like a charm. Can I suggest this goes into proposed
updates as the ulogd in woody clearly won't work with any ulogd modules
made from stock kernel source.
 
Thanks for the tip Felix,
 
Cheers,
Stu.


 
Je vais essayer

Reply

Marsh Posté le 21-07-2003 à 14:17:31    

Bon, j'ai téléchargé les sources de la sid (ulogd+cvs) via un apt-get source ulogd après avoir rajouté  temporairement la ligne qui va bien ds mon sources.list (deb-src ftp://ftp.nerim.net/debian unstable main contrib non-free)
 
Je suis allé ds le répertoire crée et j'ai fait un dpkg-buildpackage, mais il y a avait des problèmes de dépendances, alors j'ai fait un dpkg-buildpackage -d comme on nous le propose pour passer outre.  
 
Un petit cd .. et voila 3 beaux .deb. J'installe celui qui m'interesse via dpkg -i et ca marche super bien !
 
J'ai effacé mon ulogd.conf par celui de l'update et les logs se trouvent ds /var/log/ulog/ maintenant. Je n'ai pas eu à modifier la configuration par défaut.
 
Voilà, si ca peut aider !
 
@+


Message édité par Evadream -jbd- le 21-07-2003 à 14:20:16
Reply

Marsh Posté le 21-07-2003 à 15:42:18    


apt-cache search ulogd
kernel-patch-ulog - Netfilter userspace logging patch.
ulogd-mysql - mySQL extension to ulogd
ulogd - The Netfilter Userspace Logging Daemon


 
 
Hum. :D


Message édité par Evadream -jbd- le 21-07-2003 à 15:43:01
Reply

Marsh Posté le 31-07-2003 à 17:12:38    

y a pas moyen d'avoir les IP sous forme un peu plus explicite?  :o  
 
ip_saddr:3232261374
idem pour ip_protocole: 17
 
pas très utilisable ...sans votre aide  :D


---------------
Gitan des temps modernes
Reply

Marsh Posté le 31-07-2003 à 17:31:03    

moi gentoo


---------------
Gitan des temps modernes
Reply

Marsh Posté le 10-08-2003 à 19:16:45    

J'ai un petit problème pour logguer dans mysql.
 
Ulog loggue correctement dans le fichier /var/log/ulog.syslogmenu mais il ne loggue rien dans mysql.
 
J'ai créé la base sql et je me suis bien assuré que l'utilisateur avait tous les droits sur la table.
 
Malgré ça, rien ne se loggue. Voilàmon fichier ulog.conf :
 

Code :
  1. nlgroup 1
  2. logfile /var/log/ulog/ulogd.log
  3. loglevel 5
  4. bufsize 65535
  5. plugin /usr/lib/ulogd/ulogd_BASE.so
  6. syslogfile /var/log/ulog/ulogd.syslogemu
  7. syslogsync 1
  8. plugin /usr/lib/ulogd/ulogd_LOGEMU.so
  9. dumpfile /var/log/ulog/ulogd.pktlog
  10. mysqltable ulog
  11. mysqlpass ulogdpass
  12. mysqluser ulogduser
  13. mysqldb ulogd
  14. mysqlhost localhost
  15. plugin /usr/lib/ulogd/ulogd_MYSQL.so


 
Quelqu'un à une idée ?


Message édité par latruffe le 10-08-2003 à 19:16:57
Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed