Hoe het Ubuntu 16 Linux-systeem te bewaken met Sysdig

Door een besturingssysteem in optimale omstandigheden te houden, kunnen we er zeker van zijn dat we altijd over de nieuwste updates zullen beschikken, dat we een stabiel systeem zullen hebben, met zijn prestaties in de beste niveaus en altijd met beschikbaarheid voor elke uit te voeren taak.

Wanneer we besturingssystemen beheren zoals: Ubuntu 16-server We moeten zeer alert zijn op al zijn waarden sinds een fout kan fouten in de stabiliteit clientcomputers of fouten tijdens het proces.
Hoewel er verschillende tools en applicaties zijn die we kunnen implementeren, zullen we het deze keer in detail hebben over: Sysdig voor het hele onderwerp van Ubuntu-systemen bewaken op een eenvoudige en volledig functionele en complete manier.

Wat is SysdigSysdig is een gratis tool van Open source wiens doel is? gedrag onderzoeken van het systeem, de status van het systeem in realtime vastleggen, de instanties analyseren die in Linux worden uitgevoerd om een ​​filter te maken en de informatie opslaan om een ​​resultaat te verkrijgen over het gedrag van hetzelfde.

Sysdig is geschreven in a LUA-script en het bevat een opdrachtregel die vanaf de console kan worden uitgevoerd. binnen zijn belangrijkste Kenmerken hebben:

• Snel en stabiel.
• Gemakkelijk gebruiken.
• Groot ruimte in het systeem.
• Flexibel.
• Aanpasbaar naar de huidige werkstroom.
• Het kan in systemen worden geïnstalleerd Windows en Mac OS.

Standaard Sysdig het analyseert de server waarop het is geïnstalleerd, maar we kunnen de Sysdig Cloud-tool gebruiken om computers op afstand te beheren.

1. Het Ubuntu 16-systeem updaten

Het is belangrijk dat we, voordat we een applicatie of hulpprogramma in het systeem installeren, de pakketten en repositories bijwerken, hiervoor zullen we de volgende opdracht gebruiken:

 sudo apt-get update

VERGROTEN

2. Het installatiescript van Sysdig Ubuntu 16 downloaden

Stap 1
Zodra het systeem is bijgewerkt, is de volgende stap het downloaden van het officiële script naar Sysdig-installatie, hiervoor gebruiken we de curl commando en we zullen het volgende invoeren. We zien dat het script is gedownload naar het systeem.

 curl https://s3.amazonaws.com/download.draios.com/stable/install-sysdig -o install-sysdig

VERGROTEN

Stap 2
Dit heeft het install-sysdig-script op het systeem gedownload en het wordt aanbevolen voordat we een van internet gedownload script uitvoeren dat we de inhoud ervan controleren en valideren, hiervoor kunnen we een editor zoals nano of vi gebruiken of de opdracht less gebruiken gevolgd door het script:

 minder ./install-sysdig

VERGROTEN

Stap 3
Zodra we hebben bevestigd dat het script geldig is, gaan we als volgt verder met de uitvoering met behulp van het cat-commando:

 cat ./install-sysdig | sudo bash

VERGROTEN

We kunnen zien dat het script de applicatie-afhankelijkheden heeft geïnstalleerd, evenals de kernelheaders en -modules. Op deze manier we hebben Sysdig op Ubuntu 16 Server geïnstalleerd.

3. Hoe u het Ubuntu 16-systeem in realtime kunt bewaken met Sysdig

Het is belangrijk om te verduidelijken dat om het Sysdig-commando te gebruiken, u root-rechten moet hebben om optimaal te kunnen functioneren.

Stap 1
Om een ​​realtime monitoring uit te voeren, gebruiken we de volgende opdracht:

 sudo sysdig

VERGROTEN

Stap 2
Het is een vrij uitgebreide lijst die we kunnen stoppen wanneer we willen met behulp van de volgende toetsencombinatie:

Ctrl + C

VERGROTEN

Stap 3
De syntaxis van de door Sysdig uitgegeven resultaten is als volgt:

 % evt.num% evt.outputtime% evt.cpu% proc.name (% thread.tid)% evt.dir% evt.type% evt.info

Stap 4
We lichten elk evenement hieronder toe:

Evt.numHet is het evenement nummer die regel voor regel wordt verhoogd.

evt. UitvoertijdGeeft de aan tijd waarin de gebeurtenis plaatsvond.

evt. ProcessorIs hij CPU-nummer waar de gebeurtenis is vastgelegd, bijvoorbeeld 0.

Proc. YamVerwijst naar het proces dat de gebeurtenis geactiveerd, bijvoorbeeld, acpid.

Draad. TidGeeft de aan TID die het proces heeft gegenereerd, wat overeenkomt met de PID van single-threaded processen.

evt. DirHet is het adres waar de gebeurtenis plaatsvond, het symbool> staat voor de invoer van gebeurtenissen en het symbool <de uitvoer van gebeurtenissen.

evt. TypeVerwijst naar de naam van de gebeurtenis, bijvoorbeeld open, gelezen, etc.

evt. InfoMaak een lijst van de argumenten van het evenement.

Stap 5
Het is mogelijk om opties en filters toe te passen op de Sysdig-opdracht om meer specifieke resultaten te verkrijgen om te beheren, hiervoor moeten we de volgende syntaxis gebruiken:

 sudo sysdig [optie] [filter]

Stap 6
Om de volledige lijst met filters te zien, kunnen we de volgende opdracht gebruiken. We zien dat sHet filter en de bijbehorende beschrijving worden weergegeven.

 sysdig -l

VERGROTEN

Stap 7
Zoals we kunnen zien, is er een brede lijst met opties, enkele van de meest gebruikte klassen zijn:

ProcesMet deze klasse filteren we de Proces informatie als uw ID of naam.

FdMet deze optie kunnen we filter descriptor informatie bestand (FD).

EvtMet behulp van deze klasse kunnen we gebeurtenisinformatie filteren als gebeurtenisnummer of datum waarop het is gebeurd.

GroepDankzij deze klasse kunnen we filteren informatie over de groep.

SyslogMet deze parameter filteren we syslog-informatie, zoals de ernst en de installatie van de gebeurtenis.

Stap 8
Om te zien hoe het filter in bedrijf te gebruiken, zullen we alle gebeurtenissen zien die verband houden met het acpid-proces, hiervoor voeren we het volgende in. Dat kunnen we zien heeft gelekt volgens het aangegeven proces.

 sudo sysdig proc.name = acpid

VERGROTEN

4. Gebeurtenissen vastleggen en opslaan in een bestand met Sysdig

We kunnen wensen evenementen opslaan die in Ubuntu voorkomen in een bestand voor verdere analyse.

Stap 1
Hiervoor gebruiken we de volgende syntaxis. Wij hebben toegevoegde -w parameter om het doelbestand aan te geven.

 sudo sysdig -w Bestandsnaam.scap

Stap 2
Om het opnameproces te stoppen gebruiken we de toetsencombinatie Ctrl + C.
We kunnen de parameter -n toevoegen om aan te geven hoeveel gebeurtenissen moeten worden vastgelegd met Sysdig, hiervoor gebruiken we de volgende syntaxis:

 sudo sysdig -n 300 -w Bestandsnaam.scap

Stap 3
Als we deze opnamen nu in kleinere bestanden willen maken, kunnen we de parameter -C als volgt. In dit voorbeeld slaan we de gebeurtenissen op in bestanden die niet groter zijn dan 2 MB.

 sudo sysdig -C 2 -W 5 -w Bestand.scap

Stap 4
Om de opgeslagen bestanden weer te geven, kunnen we de volgende syntaxis gebruiken:

 ls -l Bestandsnaam *

VERGROTEN

Stap 5
Als we bijvoorbeeld een specifieke gebeurtenis in een bestand willen opnemen zuur, we kunnen de volgende syntaxis gebruiken. Met deze syntaxis we zullen 100 evenementen opnemen van het acpid-proces.

 sudo sysdig -n 100 -w Bestand.scap proc.name = acpid

5. Hoe de bestanden te lezen en te analyseren die zijn opgenomen met Sysdig in Ubuntu 16

Stap 1
Zodra we de bestanden die we hebben opgeslagen willen analyseren, gebruiken we de volgende opdracht om ze te lezen:

 sudo sysdig -r Bestand.scap

Stap 2
In dit geval gebruiken we de volgende regel:

 sudo sysdig -r solvetic.scap

VERGROTEN

Daar hebben we alle records die zijn opgeslagen in het bestand dat is gemaakt met Sysdig.

6. Hoe het systeem in het algemeen te analyseren met Sysdig in Ubuntu 16

Sysdig bevat meer dan 50 scripts die ons de mogelijkheid geven om verschillende administratieve taken binnen het systeem uit te voeren.

Stap 1
Om de volledige lijst met beschikbare commando's te zien, gebruiken we het volgende commando:

 sysdig -cl

Stap 2
Het verkregen resultaat is het volgende:

VERGROTEN

Stap 3
We kunnen zien dat elke opdracht is gesegmenteerd in categorieën. Enkele van de meest gebruikte zijn:

NetstatHet stelt ons in staat om de verbindingen van actief netwerk.

Spy_usersHet stelt ons in staat om de oefening van elke gebruiker.

Spy_portGeeft de informatie weer die is verzonden op elke poort.

Spy_IPToont de activiteit van de IP adres.

HttptopToon de HTTP-verzoeken gegenereerd in het systeem.

Stap 4
Voor meer informatie over elke opdracht kunnen we de parameter -i als volgt gebruiken:

 sudo sysdig -i (opdracht)

bijvoorbeeld:

 sudo sysdig -i netstat 

Stap 5
Om de werking van de opdracht in detail te zien, gebruiken we de -c parameter, als volgt

 sudo sysdig -c topprocs_cpu

VERGROTEN

7. Hoe Csysdig te gebruiken om Ubuntu 16 te bewaken en te analyseren

Csysdig het is een tool die is inbegrepen binnen sysdig wat ons de mogelijkheid biedt om het systeem grafisch te volgen.
Het vervult dezelfde functies als Sysdig door gebeurtenissen in realtime vast te leggen, te analyseren en de gegevens worden elke twee seconden ververst.

Stap 1
Om toegang te krijgen Csysdig we zullen het volgende commando gebruiken:

 sudo csysdig

VERGROTEN

We kunnen zien dat we onderaan de console verschillende toegangs- en weergave-opties hebben.

Stap 2
Om toegang te krijgen tot een van deze opties, selecteert u eenvoudig de bijbehorende toets, bijvoorbeeld om toegang te krijgen tot de optie Keer bekeken we zullen de sleutel gebruiken F2 en het resultaat zal als volgt zijn. Daar zien we een compleet overzicht van de taken die met Sysdig moeten worden uitgevoerd.

VERGROTEN

Stap 3
Op dezelfde manier kunnen we de F7-toets om toegang te krijgen tot de bijschriften voor elke kolom.

VERGROTEN

Stap 4
We hebben toegang tot het menu Acties met de F8-toets om het gedrag van elk proces en elke gebruiker te zien.

VERGROTEN

Stap 5
Er zijn enkele opties die we kunnen gebruiken met Csysdig op configuratieniveau, enkele hiervan zijn:

• Wijzig de verversingstijd van de informatie. We weten dat de ingestelde tijd standaard is 2 seconden, als we willen dat deze tijd 5 seconden wordt, gebruiken we het volgende commando:

   sudo csysdig -d 5000.

• Om gebruikers- en groepsinformatie in het veld Views uit te sluiten, gebruiken we de volgende opdracht:

   sudo csysdig -E.

• Om de gebeurtenissen van een bepaalde gebruiker weer te geven, bijvoorbeeld Solvetic, gebruiken we de volgende opdracht:

   sudo csysdig user.name = oplossend.

Om de samenvatting van een bepaald proces te zien, gebruiken we de opdracht sudo csysdig proc.name = (Procesnaam).
Om alle beschikbare commando's te zien die we zullen gebruiken sudo csysdig -l.

Op deze manier kunnen we Sysdig en Csysdig gebruiken voor een realtime controle van ons Ubuntu 16-systeem en de beste niveaus van integriteit en optimalisatie behouden. Om nog meer controle over je Linux-systeem te hebben, heb je hier nog een andere optie over: hoe hardware in Ubuntu Linux te controleren.

Ubuntu-hardware bewaken