Недавно из комментариев узнал про систему RuSIEM. Она относится к классу продуктов SIEM (Security Information and Event Management). Я в целом далёк от темы безопасности и связанным с этим софтом, так как это отдельное направление в IT. Эта система привлекла меня тем, что у неё есть полностью бесплатная версия RvSIEM, которая занимается только сбором и обработкой логов, анализируя их на наличие содержимого, связанного с защитой и безопасностью.

Решение полностью российское, соответственно документация, весь интерфейс, все встроенные фильтры и отчёты полностью на русском, что упрощает эксплуатацию. Я немного разобрался с RvSIEM: развернул, посмотрел, что умеет и как работает. На первый взгляд неплохая система. Кратко расскажу, что конкретно она делает.

RvSIEM умеет принимать логи из различных систем: веб сервера, операционные системы (в том числе Windows), СУБД, почтовые сервера, шлюзы, сетевые устройства и т.д. Она их автоматически парсит, если используются стандартные шаблоны логов этих приложений и собирает по ним аналитику. Например, вычленяет из них IP адреса источников, информацию об учётных данных, если речь идёт о логине, статусы и критичности событий из логов приложений и т.д.

Всё это стекается в общее хранилище на базе Elasticsearch и ClickHouse, там анализируется и строятся отчёты. Например, можно вывести сквозной список всех IP адресов, с которых были подключения, которые не относятся к IP адресам РФ. Можно сделать отдельный отчёт по логинам RDP или в админку самой RvSIEM. Причём отчёты можно выгружать в различных форматах: PDF, DOCX, XSLX, CSV.

Есть стандартные преднастроенные фильтры и отчёты. Можно писать свои. То же самое и к парсерам относится. Используются grok фильтры для парсинга, как в Logstash. С ними нетрудно разобраться и распарсить свой формат логов. Я в своё время это освоил, когда надо было. Управление всё через веб интерфейс, в консоль ходить не обязательно.

Рассказываю, как я всё это установил. Пошёл на сайт и в разделе скачать оставил заявку. На следующий день мне прислали на почту мою учётную запись в ЛК с документацией всей системы RuSIEM. Там есть все ссылки и инструкции на загрузку. Используется общий установщик, а конкретно установку RvSIEM выбираешь при его запуске.

С установкой проблем не возникло, там всё просто. Инструкция на русском, сделал по ней. Хотя по сути там нужно просто скачать скрипт и запустить его. Дальше установщик всё делает сам. Он работает на базе ролей Ansible. Никаких лицензий потом получать не надо.

Дам одну существенную рекомендацию по настройкам Elasticsearch. Он по умолчанию съедает всю оперативную память и его прибивает OOM Killer. У меня было 4GB памяти, сделал 8GB, не помогло, сделал 12GB - тоже не помогло. Elasticsearch регулярно падал, хотя в тестовой системе нагрузки никакой не было. Мне это надоело и я в файл /etc/elasticsearch/jvm.options.d/rusiem.jvm.options добавил настройки:

-Xms4g
-Xmx4g

Они ограничивают потребление в 4GB, что для небольшой нагрузки достаточно. После этого система стала стабильно работать.

RvSIEM умеет собирать логи разными способами. В основном это syslog, NetFlow и свой агент, в том числе для Windows. То есть настройка простая. Например, в Angie можно напрямую отправить логи в RvSIEM в формате syslog:

access_log syslog:server=10.20.1.9:5014,facility=local7,tag=angie,severity=info
error_log syslog:server=10.20.1.9:5014,facility=local7,tag=angie,severity=info

Основное ограничение бесплатной версии - 500 EPS (events per second). Не знаю, что тут конкретно имеется ввиду. Наверное, суммарное количество строк логов в секунду.

Для бесплатной системы функциональность более чем. Не знаю, есть ли у кого-то что-то лучше. Да и в целом мне понравилась система. Довольно быстро разобрался, развернул, посмотрел, как работает. Особых проблем не возникло. Попробуйте, если вам нужен такого рода продукт.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#logs #security #отечественное

Делюсь с вами одним необычным сервисом. Не знаю, кому и где он может пригодиться на практике. Я его увидел несколько лет назад в комментариях, сохранил на память и только сейчас к нему вернулся.

⇨ https://dnsdumpster.com (сайт за CloudFlare)

Сервис рисует схему основного домена и всех известных поддоменов. Не знаю точно, откуда он их берёт, но скорее всего по списку выпущенных сертификатов. Именно он есть в публичном доступе. Также результат можно выгрузить в xlsx.

С помощью этого сервиса можно быстро оценить инфраструктуру какого-то домена или проекта. Ниже картинки на примере домена habr.com. Сразу видно основную структуру и то, что она вся закрыта защитой QRATOR, кроме одного домена promo.habr.com. Это что вообще такое 😳 Где хабр, и где промокоды?

Можете себя так периодически проверять, не торчит ли что-то лишнего наружу.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#dns #сервис

Я пользуюсь ноутбуками последние 11 лет постоянно. У меня в разное время были разные подставки. В основном такие здоровые, чёрные платформы, на которые ноутбук устанавливается полностью и есть возможность его немного наклонить для более удобного набора на клавиатуре.

В этом году в коворкинге увидел у человека другого рода подставку. Может где-то мельком и видел такие на картинках, но не обращал внимания. А тут внимательно посмотрел, показалась удобной. В итоге купил такую себе. И реально удобно, поэтому решил написать. Может кому-то тоже в голову не приходило подобное.

Подставка простая, относительно лёгкая, можно носить с собой. Я её использую исключительно при подключении внешнего монитора. С её помощью удобно иногда использовать ноут как второй монитор. Делаю это нечасто, мне одного основного хватает.

С такой подставкой банально удобнее ноут ставить и подключать, под ним остаётся свободное место. Актуально, если стол небольшой. В самом нижнем положении можно использовать ноутбук без внешнего монитора, для более комфортного набора текста и подъёма экрана ноутбука повыше. Как я уже сказал, сделать это можно только в самом нижнем положении. Если поднять выше, как на картинке, то конструкция становится неустойчивой, печатать неудобно.

Ниже фото моего временного рабочего места. Отдельно отмечу стол. Он в комнату не подходит, поставил временно, пока ремонт идёт. Мне его отдали, когда переезжал один офис. Мебель всю меняли, а мне предложили забрать стол руководителя. Первый раз работаю за таким глубоким столом.

Но основное его удобство не в этом. Он очень-очень тяжёлый. Причём не только столешница, но и стенки, на которых она стоит. Первый раз работаю за таким массивным столом. И это очень удобно. У меня в планах купить всем детям столы с подъёмным механизмом, чтобы можно было подстраиваться под рост детей. Основное неудобство таких столов - они не очень устойчивые. Как ни крути, но большую мощную столешницу проблематично поставить на динамическую подставку. В верхнем положении она может стать неустойчивой.

В планах заказать Ergostol. Уже записался к ним на следующей неделе в шоурум в Москве. Нужны 3 больших стола. Хочу их всё же посмотреть перед заказом. Если выбираете себе стол, то обязательно обращайте внимание на его вес. Чем он тяжелее, тем удобнее за ним работать. У меня существующий стол с подъёмным механизмом по весу средний. Когда сложен, нормально. Но когда поднимаешь и активно печатаешь, начинает немного трястись всё.

Если у кого-то есть Ergostol, поделитесь впечатлением. Или посоветуйте бренд стола с подъёмным механизмом, который есть в размерах 2 и 2,2 м. в ширину, если пользуетесь подобным. Можно, конечно, отдельно заказать механизм и столешницу, но не хочется этим заниматься. Забот и так много, не хочется ещё столы самому собирать.

#железо