システムロガーをインストールする。Gentoo Linuxでは、

　sysklogd
　syslog-ng
　metalog
　（msyslog）

から選択する。大してこだわりはないので、Handbookが推奨するmetalogをインストールすることにした（GentooJPのインストールの手引きは、syslog-ngを推奨している）。

# emerge metalog
# rc-update add metalog default

» 続きを読む

まず、Snort用のデータベース「snort」をMySQLで作成する。

# mysql -u root -p
Enter password:
Welcome to the MySQL monitor. Commands end with ; or \g. mysql> CREATE DATABASE `snort` ;

次に、ユーザー「snort」を作成し、SELECT、INSERT、UPDATE、DELETE権限を付与する。phpMyAdminを使えば簡単。

» 続きを読む

SnortのログをWebブラウザで閲覧できるようにするACIDをインストールする。Gentoo Linuxの場合、

# ACCEPT_KEYWORDS="~x86" emerge acid

でインストールするのだが、うまく動かなかったのでACIDの本家サイトからダウンロードしたもの（acid-0.9.6b23.tar.gz）を使用。いまはemergeの方も正常に使えるかもしれない。

また、ACIDが利用するライブラリを別途インストールする。これはemergeしたものでOK。

# ACCEPT_KEYWORDS="~x86" emerge adodb jpgraph

» 続きを読む

ログ（基本的にはApacheのアクセスログ）の肥大化を防ぐため、logrotateでログをローテーションさせる。

まずは、emergeでインストール。

# emerge logrotate

logrotateの設定は、/etc/logrotate.confで行う。このファイルにすべての設定を記述してもよいのだが、通常は/etc/logrotate.dディレクトリに個別（サービスごとが一般的）に設定ファイルを用意し、/etc/logrotate.confに/etc/logrotate.dをインクルードさせる。/etc/logrotate.confに共通設定、/etc/logrotate.d/以下のファイルで個別設定という形になる。

ちなみに、ローテーションの実行ログは、/var/lib/logrotate.statusに記録される。

» 続きを読む

logrotateをインストールしたら、Apacheのアクセスログとエラーログをローテーションさせる設定を行う。

Apache用の設定は、/etc/logrotate.d/apacheというファイルで行う。基本的には/etc/logrotate.confの内容が適用されるので、/etc/logrotate.d/apacheには/etc/logrotate.confと異なる部分だけ記述すればよい。

» 続きを読む

Apacheのアクセスログを分析するため、Analogをインストールする。

# emerge app-admin/analog

app-emacs/analogというebuildもあるため、app-adminの指定が必要になる。

また、Apacheのドキュメントルートを変更している場合は、ドキュメントルート内に適当なディレクトリを用意しておく。

# mkdir /home/httpd/html/log

ここでは、以下このディレクトリを前提に話を進める。

» 続きを読む

/etc/analog/analog.cfgを編集して、Analogの集計対象や出力の設定を行う。まずは基本的なところから。

IMAGEDIR images/

で画像ファイルのディレクトリ指定。

HOSTNAME "hogehoge"

は、出力ページのタイトル。任意のタイトルをつけておけば良い。

» 続きを読む

検索エンジンに入力された文字列は、エンコードされてURLに埋め込まれる。この情報はApacheのアクセスログにも記録されるので、訪問者がどのような検索文字列でアクセスしてきたのかが分かる。

ただし、Analogはエンコードされた文字列をそのまま表示するため、人間には分かりにくい（16進数がそのまま読める人は別だが）。analogurldecodeを使えば、エンコードされた文字列をデコードしてくれる。

» 続きを読む

名前解決は基本的にコストの高い処理であり、各種のログは通常IPアドレスのみを記録する。

Analogには、アクセスログに記録されたIPアドレスをホスト名に変換する機能がある。例えば、/etc/analog/analog.cfgに

DNS WRITE
DNSFILE /tmp/dnsfile

と記述すれば、DNS問い合わせを行って名前解決し、/tmp/dnsfileに結果をキャッシュする。

しかし、この機能は非常に遅い。

» 続きを読む