PLATEFORME VISUALISATION DES LOGS MODSECURITY

Etape 1 : Installation et configuration de grafana sur ubuntu TLS 22.0 à

partir du référentiel APT

1) installer les packages requis et télécharger la clé de signature du référentiel Grafana,

exécutez les commandes suivantes :

sudo apt-get install -y apt-transport-https

sudo apt-get install -y software-properties-common wget
sudo wget -q -O /usr/share/keyrings/grafana.key
https://apt.grafana.com/gpg.key

2)  exécutez les commandes suivantes pour installer la version :

# Update the list of available packages

sudo apt-get update

# Install the latest OSS release:

sudo apt-get install grafana

3) Démarrer le serveur grafana

  sudo systemctl start grafana-server
sudo systemctl status grafana-server

Etape 2 : Installation de loki (Loki est le moteur de journalisation et

Promtail envoie les journaux à Loki)

1) Accédez aux actifs et téléchargez le fichier zip binaire Loki sur votre serveur.

curl -s https://api.github.com/repos/grafana/loki/releases/latest | grep

browser_download_url | cut -d '"' -f 4 | grep loki-linux-amd64.zip | wget –i

2) Décompressez le fichier binaire dans /usr/local/bin

unzip loki-linux-amd64.zip
sudo mv loki-linux-amd64 /usr/local/bin/loki

3) Confirmé la version installé

 $ loki --version

4) Crée le repertoire qui comportera les données réquis : sudo mkdir –p /data/loki

5) Crée le fichier de configuration /etc/loki-conffig.yaml : sudo nano /etc/loki-config.yaml

Coller la configuration suivante :

auth_enabled: false

server:
http_listen_port: 3100

ingester:
lifecycler:
address: 127.0.0.1
ring:
kvstore:
store: inmemory
replication_factor: 1
final_sleep: 0s
chunk_idle_period: 5m
chunk_retain_period: 30s
max_transfer_retries: 0

schema_config:
configs:
- from: 2018-04-15
store: boltdb
object_store: filesystem
schema: v11
index:
prefix: index_
period: 168h

storage_config:
boltdb:
directory: /data/loki/index

filesystem:
directory: /data/loki/chunks

limits_config:
enforce_metric_name: false
reject_old_samples: true
reject_old_samples_max_age: 168h

chunk_store_config:
max_look_back_period: 0s

table_manager:
retention_deletes_enabled: false
retention_period: 0s
6) Crée le service loki dans /etc/systemd/system pour le fonctionnement en background
(deamon) de la machine : sudo nano /etc/systemd/system/loki.service

Description=Loki service
After=network.target

[Service]
Type=simple
User=root
ExecStart=/usr/local/bin/loki -config.file /etc/loki-local-
config.yaml

[Install]
WantedBy=multi-user.target

7) Recharger le démon système puis démarrer le service Loki

sudo systemctl daemon-reload

sudo systemctl start loki.service

Pour accéder http://localhost:3100/metrics

Etape 3 : Installer Promtail (Promtail est un agent qui expédie le

contenu des journaux locaux vers une instance privée de Loki)
1) Accédez aux actifs et téléchargez le fichier zip binaire Promtail sur votre serveur.

curl -s
https://api.github.com/repos/grafana/loki/releases/latest |
grep browser_download_url | cut -d '"' -f 4 | grep promtail-
linux-amd64.zip | wget -i

2) Décompressez le fichier binaire dans /usr/local/bin

unzip promtail-linux-amd64.zip
sudo mv promtail-linux-amd64 /usr/local/bin/promtail

3) Confirmé la version installé : $ promtail --version

5) Crée le fichier de configuration /etc/promtail-conffig.yaml : sudo nano /etc/promtail-
config.yaml
Coller la configuration suivante :

server:
http_listen_port: 9080
grpc_listen_port: 0

positions:
filename: /data/loki/positions.yaml

clients:
- url: http://localhost:3100/loki/api/v1/push

scrape_configs:
- job_name: system
static_configs:
- targets:
- localhost
labels:
job: varlogs
__path__: /var/log/apache2/modsec_audit.log

6) Crée le service promtail dans /etc/systemd/system pour le fonctionnement en background

(deamon) sur la machine : sudo nano /etc/systemd/system/promtail.service

Description=Promtail service
After=network.target

[Service]
Type=simple
User=root
ExecStart=/usr/local/bin/promtail -config.file /etc/promtail-
config.yaml

[Install]
WantedBy=multi-user.target

7) Recharger le démon système puis démarrer le service promtail

sudo systemctl daemon-reload

sudo systemctl start promtail.service