Retour d'expérience de l'université de Rennes 1 sur la centralisation des logs avec Graylog 30/03/17

1. Johan THOMAS - johan.thomas@univ-rennes1.fr - @jothoma1 - Meetup Rennes Monitoring 30/03/2017
Retour d’expérience Université de
Rennes 1

2. Qui suis-je ?
Johan THOMAS - @jothoma1 2
Johan THOMAS
Pôle Infrastructure de la DSI
Depuis Novembre 2015
@jothoma1
github.com/jothoma1
linkedin.com/in/johan-thomas1/

3. Sommaire
• Le contexte Rennes 1
• Le projet de centralisation
• La solution en production
• La suite
Johan THOMAS - @jothoma1 3

4. Contexte Rennes 1
Johan THOMAS - @jothoma1 4
29 000 étudiants
3700 personnels

5. Contexte Rennes 1: DSI
Johan THOMAS - @jothoma1 5
73 personnels
6000 550
500

6. Qu’est ce qu’un log ?
• Enregistrement d’événements
• Fichier
• BDD
• Date
• Permet l’analyse
• Obligation réglementaire (FAI, employeurs, voir avec
votre RSSI !)
Johan THOMAS - @jothoma1 6

7. La centralisation des logs
Johan THOMAS - @jothoma1 7
ELK, Splunk, Graylog, etc
Formats : GELF, JSON, etc
Syslog-NG, PHP, mySQL, développement locaux,
pas scalable, …
Format : syslog

8. La centralisation des logs
Johan THOMAS - @jothoma1 8
ELK, Splunk, Graylog, etc
Formats : GELF, JSON, etc
Syslog-NG, PHP, mySQL, développement locaux,
pas scalable, …
Format : syslog

9. Le projet de refonte
• Solution centralisation vieillissante
• Pas systématique
• Politique de rétention ?
• Pas d’exploitation des données
• Utilisation complexe…
Johan THOMAS - @jothoma1 9

10. Les objectifs & enjeux
• Respect de la réglementation
• Conservation
• Mutualisé
• Développer la collaboration
• Sécurité
• Extension du périmètre
• Tout !
• Corrélation
• Analyse & Reporting (indicateurs, dashboards)
• Améliorer le service rendu
Johan THOMAS - @jothoma1 10
1 an maximum
3 mois en clair: exploitation
9 mois en accès réservé (réquisition)

11. Points d’attention centralisation logs
• Transport
• UDP
• TCP
• Format
• Syslog
• GELF
• JSON
• GROK
• Extracteurs
• Pipelines
• Logstash
• Gestion de configuration
• Stockage
• Accompagnement
Johan THOMAS - @jothoma1 11

12. Pourquoi ?
• Simple à prendre en main
• Politiques / stratégies de rétention
• Authentification / Rôles
• Archivage (enterprise)
• Scalable
• Extrêmement performant
• Alerte
• Reporting (dashboards, facile d’accès)
• API
• Moteur de recherche
• Open Source
Johan THOMAS - @jothoma1 12
• Gère complètement elasticsearch
• Extensible
• Mature
• INPUTs & OUTPUTs
• Extracteurs
• Pipeline
• Gestion des loggers/shippers
• Marketplace (forte communauté)
• A l’origine du format GELF
• DevOps
Législation
Collaboration
Large périmètre
Analytics
Service rendu

13. Construction de l’infra
Infra hautement disponible
pour traiter des millions de
logs par seconde
Johan THOMAS - @jothoma1 13
Appliances « tout en un » dispos
+ packages + etc
https://www.graylog.org/download

14. Construction de l’infra
Johan THOMAS - @jothoma1 14
1) Répartiteurs 2) Graylog 3) Elasticsearch
UDP / TCP Traitement
Cache
Catégorisation
ACL
User Interface
Inputs / Outputs
API
Stockage
Indexation
Recherche

15. Johan THOMAS - @jothoma1 15
Stratégies de
rétention multiples
depuis 2.2

16. Cas d’usage
• Assistance
• Suivi du parc
• SSI
• Suivi et pilotage des services d’infrastructure
• Corrélation
• Suivi et pilotage de service fonctionnel
Rappel: développer la collaboration, les
utilisateurs sont autonomes dans l’utilisation
de leurs logs (dashboards, alertes, etc)
Démarche DevOps
Johan THOMAS - @jothoma1 16

17. Fonctionnalités: INPUT / OUTPUT
• Entrées et sorties des logs
• Associées à un format
• Extensible !
• Beats,
• Netflow,
• Redis,
• SNMP,
• neo4j,
• Hadoop HDFS,
• …
• STREAMS = Catégories
Johan THOMAS - @jothoma1 17

18. Fonctionnalités: Stratégie de rétention
• Multiple
• Cas d’usages:
• 3 mois / 1 an -> conformité réglementation
• 1 an ou plus: données anonymisées, analytics, pilotage
• Archivage (enterprise)
• Projection sur le coût de stockage
• SAN, SSD: intérêt de conserver 9 mois de data « froides » ?
• Automatisé
Johan THOMAS - @jothoma1 18

19. Fonctionnalités: Stratégie de rétention
Johan THOMAS - @jothoma1 19

20. Fonctionnalités: Gestion des clients
Johan THOMAS - @jothoma1 20
6000 550
500 +
Rsyslog / NXLog /
Beats / Log4j / etc

21. Fonctionnalités: Gestion des clients
Johan THOMAS - @jothoma1 21
6000 550
500 +
Rsyslog / NXLog /
Beats / Log4j / etc

22. Fonctionnalités: Alertes
• Conditions
• Notifications
• Extensible !
• Sensu,
• Slack,
• Hipchat,
• …
Johan THOMAS - @jothoma1 22

23. Fonctionnalités: Pipelines
• Logstash like
• Routage
• Enrichissement
• Cas usage:
• threat intelligence
• Sysmon
• Openldap (exemple)
• Télé-enseignement Moodle (en cours)
Johan THOMAS - @jothoma1 23

24. Autres fonctionnalités (et puis démo ;) )
• Extracteurs
• JSON
• REGEX
• GROK
• Etc
• Audit (enterprise)
• Marketplace
Johan THOMAS - @jothoma1 24

25. Démo
Johan THOMAS - @jothoma1 25

26. Cas d’usages
Johan THOMAS - @jothoma1 26

27. Cas d’usages
Johan THOMAS - @jothoma1 27
Services
« techniques »
(httpd, mysql,
radius, réseau, …)

28. Cas d’usages
Johan THOMAS - @jothoma1 28
Services
fonctionnels

29. Cas d’usages
Johan THOMAS - @jothoma1 29
SSI

30. Quelques chiffres sur notre infrastructure
• Moyenne de 50k logs / minutes
• 40-50 Go / jour
• 1,5 To / mois
• Coût version enterprise : 1500$ / graylog-
server / an (Warning -> plus d’actualité…)
Johan THOMAS - @jothoma1 30

31. What’s Next ??
• Continuer l’extension de périmètre
• Corrélation logs encore !
• SSI: Ressources intéressantes Sysmon / Threat intelligence Plugin
• Usage des services (techniques & fonctionnels)
• Graph DB (neo4j)
Johan THOMAS - @jothoma1 31

32. Conclusion
• Adhésion des utilisateurs : autonomie dans la création de
valeur ajoutée avec leurs logs…
• Graylog indispensable dans notre « outillage »
• Visibilité à tous les niveaux
• Une vrai conformité dans la politique de logs
• Assistance proactive / réactivité accrue
• Corrélation de logs
• Nouveaux usages
Johan THOMAS - @jothoma1 32

33. Merci !
johan.thomas@univ-rennes1.fr
@jothoma1
Plus d’info : https://www.graylog.org
Johan THOMAS - @jothoma1 33