Procédure

GRAYLOG
Installation d’un service de gestion de journaux d’événements
 Boudry Cyril BTS SIO 2 ème année
05/04/2019 Année Scolaire : 2017 / 2019
Option : SISR Version 1
Compétences Validées SO3, A1.3.4

Table des matières

1) Prérequis .......................................................................................................................................... 2
2) Définition ......................................................................................................................................... 2
3) Installation ....................................................................................................................................... 2
MongoDB ........................................................................................................................................... 2
Elasticsearch...................................................................................................................................... 3
Graylog ............................................................................................................................................... 3
4) Paramétrage de Graylog via l’interface web................................................................................... 4
5) Conclusion........................................................................................................................................ 6

1
 Boudry Cyril BTS SIO 2 ème année
05/04/2019 Année Scolaire : 2017 / 2019
Option : SISR Version 1
Compétences Validées SO3, A1.3.4

1) Prérequis
Pour réaliser cette procédure, les prérequis suivants sont nécessaires :

Debian Stretch Linux 9.9.0

graylog 192.168.43.122

Graylog 3.0
MongoDB 4.0
Elasticsearch 6

2) Définition

Graylog est un outil de centralisation et d’analyse de fichiers journaux. Il intègre nativement de

nombreuses fonctionnalités telles que les tableaux de bord par utilisateurs, des alertes…

3) Installation

Pour l’installation il faut tout d’abord telecharger l’image en .deb

$ apt-get install apt-transport-https
$ wget https://packages.graylog2.org/repo/packages/graylog-3.0-repository_latest.deb
$ dpkg -i graylog-3.0-repository_latest.deb
$ apt-get update

La commande suivante lance l’installation

$ apt-get install graylog-server

Pour fonctionner il faut installer des prérequis et dépendances nécessaires. Il s’agit tout d’abord de
package additionnels :
$ apt install openjdk-8-jre-headless uuid-runtime pwgen dirmngr

MongoDB

Graylog requiert également l’installation de MongoDB. On utilise le dépôt officiel pour son
installation

2
 Boudry Cyril BTS SIO 2 ème année
05/04/2019 Année Scolaire : 2017 / 2019
Option : SISR Version 1
Compétences Validées SO3, A1.3.4

$ apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv

9DA31620334BD75D9DCB49F368818C72E52529D4
$ echo "deb http://repo.mongodb.org/apt/debian stretch/mongodb-org/4.0 main" | tee
/etc/apt/sources.list.d/mongodb-org-4.0.list
$ apt-get update
$ apt-get install -y mongodb-org

On paramètre MongoDB pour qu’il démarre avec le système d’exploitation

$ systemctl daemon-reload
$ systemctl enable mongod.service
$ systemctl restart mongod.service

Elasticsearch

Graylog requiert également Elasticsearch 6.x

$ wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | apt-key add -
$ echo "deb https://artifacts.elastic.co/packages/oss-6.x/apt stable main" | tee -a
/etc/apt/sources.list.d/elastic-6.x.list
$ apt update && apt install elasticsearch-oss

On paramètre Elasticseach pour graylog en éditant le fichier: /etc/elasticsearch/elasticsearch.yml

cluster.name: graylog
action.auto_create_index: false

On démarre Elasticsearch
$ systemctl daemon-reload
$ systemctl enable elasticsearch.service
$ systemctl restart elasticsearch.service

Graylog

Il va falloir configurer un mot de passe pour l’administrateur de Graylog.

On va pour cela devoir modifier le champ password_secret de la configuration de Graylog. Graylog

utilise cette valeur pour sécuriser et stocker les mots de passes utilisateurs.

On va utiliser pwgen pour générer le mot de passe et la commande sed pour directement l’injecter
dans la configuration de Graylog

sudo -E sed -i -e "s/password_secret =.*/password_secret = $(pwgen -s 128 1)/" /etc/graylog/server/server.conf

3
 Boudry Cyril BTS SIO 2 ème année
05/04/2019 Année Scolaire : 2017 / 2019
Option : SISR Version 1
Compétences Validées SO3, A1.3.4

On va maintenant créer le mot de passe pour l’utilisateur root avec la commande suivante :
Remplacez bien-sûr « MOTDEPASSE » par votre mot de passe.

sudo sed -i -e "s/root_password_sha2 =.*/root_password_sha2 = $(echo -n MOTDEPASSE | shasum -a 256 | cut -d' ' -
f1)/" /etc/graylog/server/server.conf

On redémarre le service
$ systemctl daemon-reload
$ systemctl enable graylog-server.service
$ systemctl restart graylog-server.service

Après quelques minutes, vous avez accès à l’interface web de graylog sur http://@IP:9000

4) Paramétrage de Graylog via l’interface web

L’interface est identique à ceci :

4
 Boudry Cyril BTS SIO 2 ème année
05/04/2019 Année Scolaire : 2017 / 2019
Option : SISR Version 1
Compétences Validées SO3, A1.3.4

pour recevoir des données, nous devons configurer un Input qui écoutera sur le port 514 (port
Syslog par défaut). Pour cela cliquez sur System, puis sur Inputs.

Java n’a pas le droit d’écoute sur les ports entre 0 et 1023 pour des raisons de sécurités. On peut
bien évidemment modifier le port Syslog mais tous les routeurs ne peuvent pas être configurés de
cette manière.

On va donc taper la commande suivante qui permet de donner à Java le droit d’écouter sur les ports
réservés au système.

Pour autoriser Java à écouter sur le port 514 (installer le paquet libcap2-bin)

setcap cap_net_bind_service=+epi /usr/lib/jvm/java-8-openjdk-amd64/jre/bin/java

Retournons sur notre interface Graylog, puis sélectionnez dans la liste déroulante « Syslog UDP ».
Cliquez ensuite sur Launch new input.

5
 Boudry Cyril BTS SIO 2 ème année
05/04/2019 Année Scolaire : 2017 / 2019
Option : SISR Version 1
Compétences Validées SO3, A1.3.4

Donnez le titre de votre choix dans le champ Title, indiquez le port 514 puis cliquez sur Save

5) Conclusion

Le serveur de log est installé et fonctionnel. Il suffira de rajouter les élèments du réseau que l’on veut
surveiller.