Cómo configurar un sistema de registro centralizado con Graylog en Debian 11

Graylog es una plataforma de gestión de registros gratuita y de código abierto para capturar, almacenar y permitir el análisis en tiempo real de tus datos y registros. Está escrita en Java y construida sobre otro software de código abierto como MongoDB y Elasticsearch. Graylog proporciona una de las plataformas de gestión de registros centralizados más eficientes, rápidas y flexibles.

Usando Graylog, puedes enviar y analizar tanto datos estructurados como no estructurados de casi cualquier fuente de datos.

En este tutorial, te mostraremos cómo instalar y configurar Graylog como un sistema de registro centralizado en el sistema Debian 11. También te mostraremos cómo configurar el servidor web Nginx como un proxy inverso para el servidor Graylog.

Requisitos previos

Un servidor Linux Debian 11 - al menos con 4GB de RAM.
Un usuario no root con privilegios de sudo o administrador.

Instalar dependencias de paquetes básicos

En la primera etapa de este tutorial, estarás instalando algunas dependencias de paquetes básicos, incluyendo Java y GnuPG.

Antes de comenzar a instalar cualquier paquete, ejecuta el comando apt a continuación para actualizar y refrescar tu repositorio actual de Debian.

sudo apt update

Ahora instala algunas dependencias de paquetes para Graylog usando el siguiente comando.

sudo apt install apt-transport-https openjdk-11-jre-headless uuid-runtime pwgen dirmngr gnupg wget

Ingresa Y para confirmar la instalación y presiona ENTER para continuar.

instalar dependencias básicas

Después de que la instalación se complete, pasa al siguiente paso para instalar otra dependencia de Graylog: MongoDB y Elasticsearch.

Instalando MongoDB

Graylog utiliza la base de datos NoSQL MongoDB para almacenar toda la información de configuración de Graylog, flujos, alertas, usuarios, flujos en caché, etc. Toda la información que ves en las interfaces web de Graylog se almacena en la base de datos NoSQL MongoDB, excepto por los registros en sí. La versión actual de Graylog requiere MongoDB v4 hasta v4.4.

Ejecuta los siguientes comandos para agregar la clave GPG de MongoDB y el repositorio a tu servidor Debian.

wget -qO - https://www.mongodb.org/static/pgp/server-4.2.asc | sudo apt-key add -  
echo "deb http://repo.mongodb.org/apt/debian buster/mongodb-org/4.2 main" | sudo tee /etc/apt/sources.list.d/mongodb-org-4.2.list

Refresca tu repositorio de Debian usando el siguiente comando.

sudo apt update

Como puedes ver en la captura de pantalla a continuación, el repositorio de MongoDB se ha agregado a tu servidor Debian.

agregar repositorio mongodb

A continuación, instala los paquetes de MongoDB usando el comando apt a continuación.

sudo apt install -y mongodb-org

La instalación de la base de datos MongoDB comenzará.

instalar mongodb

Después de que la instalación de MongoDB se complete, ejecuta el siguiente comando para recargar el administrador de systemd. Esto es necesario antes de que inicies el servicio de MongoDB.

sudo systemctl daemon-reload

Ahora ejecuta el siguiente comando para habilitar y reiniciar el servicio de MongoDB. El servicio de MongoDB comenzará y se ejecutará automáticamente al inicio del sistema.

sudo systemctl enable mongod.service  
sudo systemctl restart mongod.service

Verifica el servicio de MongoDB usando el siguiente comando.

sudo systemctl status mongod

Como puedes ver en la siguiente captura de pantalla, el servicio de MongoDB está en funcionamiento y está habilitado.

iniciar y verificar mongodb

Ahora pasa a la siguiente etapa para instalar Elasticsearch.

Instalando Elasticsearch

Después de instalar la base de datos NoSQL MongoDB, ahora necesitarás instalar Elasticsearch. El servidor Graylog utiliza Elasticsearch como motor de búsqueda para buscar registros. En la versión actual, Graylog requiere Elasticsearch v6.8 o v7.x hasta v7.10.

Antes de instalar Elasticsearch, ejecuta el siguiente comando para agregar la clave GPG de Elasticsearch y el repositorio a tu sistema Debian.

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -  
echo "deb https://artifacts.elastic.co/packages/oss-7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list

Ahora actualiza y refresca tu repositorio de Debian.

sudo apt update

En la captura de pantalla a continuación, el repositorio de Elasticsearch se ha agregado al servidor Debian.

agregar repositorio elasticsearch

A continuación, instala los paquetes de Elasticsearch usando el comando apt a continuación.

sudo apt install elasticsearch-oss

La instalación de Elasticsearch comenzará.

instalar elasticsearch

Después de que la instalación se complete, ejecuta el siguiente comando para agregar la configuración al archivo de configuración de Elasticsearch /etc/elasticsearch/elasticsearch.yml. La siguiente configuración creará un nuevo clúster de Elasticsearch con el nombre “ graylog “ y deshabilitará la creación automática de un índice en Elasticsearch.

sudo tee -a /etc/elasticsearch/elasticsearch.yml > /dev/null << EOT  
cluster.name: graylog  
action.auto_create_index: false  
EOT

Antes de que inicies el servicio de Elasticsearch, ejecuta el siguiente comando para recargar el administrador de systemd.

sudo systemctl daemon-reload

Ahora ejecuta los siguientes comandos para habilitar y reiniciar el servicio de Elasticsearch. Esto agregará Elasticsearch al inicio del sistema y comenzará el servicio.

sudo systemctl enable elasticsearch.service  
sudo systemctl restart elasticsearch.service

Por último, verifica el servicio de Elasticsearch usando el siguiente comando.

sudo systemctl status elasticsearch.service

En la captura de pantalla a continuación, verás que el servicio de Elasticsearch está en funcionamiento y habilitado.

iniciar y verificar elasticsearch

Además, también puedes verificar la instalación de Elasticsearch accediendo a Elasticsearch usando curl. Elasticsearch se está ejecutando en el puerto predeterminado 9200, así que ejecuta el comando curl a continuación.

curl http://localhost:9200/

Ahora verás un mensaje de salida como el siguiente. Elasticsearch v7.x con el clúster llamado graylog está instalado en el servidor Debian.

verificar elasticsearch

En este punto, ya estás listo para instalar el servidor Graylog en el servidor Debian.

Instalando y configurando el servidor Graylog

Para comenzar la instalación de Graylog, necesitarás descargar el archivo .deb del repositorio de Graylog e instalarlo usando el siguiente comando.

wget https://packages.graylog2.org/repo/packages/graylog-4.2-repository_latest.deb  
sudo dpkg -i graylog-4.2-repository_latest.deb

Ahora actualiza y refresca tu repositorio de Debian.

sudo apt update

A continuación, puedes ver que el repositorio de Graylog se ha agregado al servidor Debian.

agregar repositorio graylog

A continuación, instala los paquetes de Graylog en tu servidor Debian usando el comando apt a continuación.

sudo apt install graylog-server graylog-enterprise-plugins graylog-integrations-plugins graylog-enterprise-integrations-plugins

La instalación de Graylog comenzará ahora.

Después de que la instalación se complete, ejecuta el siguiente comando para generar el password_secret de Graylog que se utilizará para la encriptación y salting de contraseñas. El password_secret de Graylog debe ser el mismo si estás ejecutando un clúster de Graylog con múltiples nodos. También necesitarás una cadena aleatoria y un número mínimo de 65 para el password_secret de Graylog.

pwgen -N 1 -s 96

Ahora copia la cadena aleatoria generada para el password_secret de Graylog a tus notas.

A continuación, ejecuta el siguiente comando para generar la contraseña encriptada con sha256. Esta contraseña se utilizará como la contraseña de administración de Graylog.

echo -n "Ingrese la contraseña: " && head -1

Ingresa tu contraseña para la contraseña de administración de Graylog. Y verás la contraseña encriptada generada sha256. Copia la contraseña encriptada a tus notas.

A continuación, edita la configuración del servidor Graylog /etc/graylog/server/server.conf usando el editor nano.

sudo nano /etc/graylog/server/server.conf

Copia y pega el password_secret generado de Graylog y la contraseña de administración de Graylog en root_password_sha2 como se muestra a continuación.

password_secret = Eqq4M8EHpKbGfgi6C05t19hJ5WmF3nkVS8yjwclYHtvwsTXRulNHEsaWuy85QUTNIUc6b2ovfRjvR7yD5kwNTPAJCCw39T3d  
root_password_sha2 = 05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223

Guarda y cierra el archivo cuando hayas terminado.

Ahora ejecuta el siguiente comando para recargar el administrador de systemd antes de iniciar el servicio del servidor Graylog.

sudo systemctl daemon-reload

Ahora habilita e inicia el servicio del servidor Graylog usando el siguiente comando.

sudo systemctl enable graylog-server.service  
sudo systemctl start graylog-server.service

El servidor Graylog estará en funcionamiento, verifícalo usando el siguiente comando.

sudo systemctl status graylog-server.service

En la captura de pantalla a continuación, verás que el servicio del servidor Graylog está en funcionamiento y habilitado.

Ahora has completado la instalación de Graylog, que se está ejecutando en el localhost predeterminado con el puerto 9000.

`Configurar Nginx como un Proxy Inverso`

Después de completar la instalación y configuración del servidor Graylog, ahora instalarás y configurarás el servidor web Nginx como un proxy inverso para el servidor Graylog. Esto te permite ejecutar Graylog con tu nombre de dominio.

Instala el paquete Nginx en tu servidor Debian usando el siguiente comando.

sudo apt install nginx -y

La instalación comenzará.

Después de que la instalación se complete, crea un nuevo host virtual de Nginx o bloques de servidor /etc/nginx/sites-available/graylog.conf usando el editor nano.

sudo nano /etc/nginx/sites-available/graylog.conf

Agrega la siguiente configuración de Nginx. Esto habilitará Nginx como un proxy inverso para el servidor Graylog que se ejecuta en http://127.0.0.1:9000/.

server  
{  
    listen 80 default_server;  
    listen [::]:80 default_server ipv6only=on;  
    server_name graylog.example.org;  
  
    location / {  
      proxy_set_header Host $http_host;  
      proxy_set_header X-Forwarded-Host $host;  
      proxy_set_header X-Forwarded-Server $host;  
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;  
      proxy_set_header X-Graylog-Server-URL http://$server_name/;  
      proxy_pass       http://127.0.0.1:9000;  
    }  
}

Guarda y cierra el archivo cuando hayas terminado.

A continuación, ejecuta el siguiente comando para activar la configuración graylog.conf. Luego verifica la configuración de nginx.

sudo ln -s /etc/nginx/sites-available/graylog.conf /etc/nginx/sites-enabled/  
sudo nginx -t

Asegúrate de obtener un mensaje de salida como prueba exitosa.

Por último, reinicia el servicio de Nginx para aplicar una nueva configuración de host virtual usando el siguiente comando.

sudo systemctl restart nginx

Ahora abre tu navegador web y visita el nombre de dominio para la URL de instalación de Graylog.

http://graylog.howtoforge.local/

Verás la página de inicio de sesión de Graylog a continuación. Ingresa el usuario administrador predeterminado con tu contraseña (el root_password_sha2) y haz clic en el botón Iniciar sesión.

Después de iniciar sesión, verás el panel de control de Graylog como a continuación.

Ahora has completado la ejecución de Graylog bajo el proxy inverso de Nginx.

`Conclusión`

¡Felicidades! ahora has completado la instalación y configuración del servidor Graylog en el servidor Debian 11. También has completado la configuración de Nginx como un proxy inverso para el servidor Graylog.