Системные логи

Для системных логов уровень опасности определяется для каждого сообщения. Интервалы уровней опасностей, заданные параметрами просматриваются в порядке от большого к меньшему. Уровень сообщения определяется по первому найденному соответствию (не забываете, что триггер срабатывает при нахождении метрики ВНЕ интервала). Если соответствие не найдено, сообщение в системный лог не выводится.

Исходя найденного уровня определяет приоритет сообщения и его тег (префикс). В системный лог командой logger посылается сообщение с указанным приоритетом и тегом:

# logger -p приоритет -t тег "тег: сообщение"

Кроме основного сообщения для nagios формируются:

• список пользователей нарушителей;
• укороченные сообщения для уровня детализации 1.

Логи nagios

Форматы сообщений и кодов завершения плугина описаны в Plugin Output for Nagios https://nagios-plugins.org/doc/guidelines.html#PLUGOUTPUT.

Уровень опасности для логов nagios определяется СУММАРНОЙ метрике. Суммарная метрика определяется для определения уровня сравнивается с интервалами, задаваемыми флагами

• -c - Critical
• -w - Warning

Если соответствие не найдено, в nagios выводится сообщение:

POLICY OK: Политики контейнеризации не нарушены

Код завершение программы (которое обрабатывается на стороне сервера nagios) - 0.

Формат логов для nagios зависит от уровня детализации, задаваемый флагом -v[vv] (см. Verbose Output https://nagios-plugins.org/doc/guidelines.html#AEN41):

Флаг        | Уровень
------------|--------
отcутствует | 0
-v          | 1
-vv         | 2
-vvv        | 3

Для всех уровней формируется префикс сообщение формата:

POLICY $prefix:

Где prefix в зависимости от уровня опасности принимает значения:

• -c - Critical
• -w - Warning

Если уровень детализации - 0, то выводится укороченное сообщение.

POLICY $prefix: Нарушение политик контейнеризации пользователей users

Где users - список пользователей у которых обнаружены нарушения.

Если уровень детализации - 1, то к сообщению с префиксом Есть пользователи: добавляется первый уровень детализации из списка укороченных сообщений сформированных при формировании системных логов.

POLICY $prefix: Нарушение политик контейнеризации пользователей $users | Есть пользователи:
укороченное сообщение

Если уровень детализации - 2, то к сообщению добавляется второй уровень детализации из списка полных сообщений сформированных при формировании системных логов.

POLICY $prefix: Нарушение политик контейнеризации пользователей $users | Есть пользователи:
укороченное сообщение
укороченное сообщение |
полное сообщение

После вывода сообщений плугин завершается кодом завершения:

• Critical - 2
• Warning - 1

•

создайте в /etc/nagios/commands/ конфигурационный файл nagios-plugins-podsec.cfg для всех podsec планинов

define command{


        command_name    podsec-inotify-check-policy


        command_line    $USER1$/check_by_ssh -H $HOSTADDRESS$ -l root -C ´/usr/lib/nagios/plugins/podsec-inotify-check-policy -vvv -w $ARG1$ -l $ARG1$ -c $ARG2$ ´


        }

В command_name надо указать имя плагина которое будет использоваться в секции define service файла конфигурации в каталоге /etc/nagios/objects. В command_line не забудьте если в этом есть необходимость указать флаг -l root для запуска скрипта под пользователем root на удаленной машине. Если для плагина достаточно прав обыкновенного пользователя nagios, флаг -l не нужен.

Переменныe $ARG1, $ARG2, ... берутся из командной строки описания сервиса в каталоге /etc/nagios/objects.

define service {


        use generic-service


        host_name       <host>


        service_description     Check containers policy


        check_command podsec-inotify-check-policy!0!100


        }

В строке service_description укахите иям сервиска которое будет отображаться в WEB-интерейсе nagios. В check_command имя команды, из вышеописанного файла nagios-plugins-podsec.cfg каталога /etc/nagios/commands/. Параметры использумые в команде указываются через символ |.

Запуск сервиса через systemd/Timers

Кроме запуска скрипта через nagios скрипт может запускаться через systemd/Timers.

В состав пакета входит systemd-файлы podsec-inotify-check-images.service, podsec-inotify-check-images.timer. Файл сервисов podsec-inotify-check-images.service описывает в параметре ExecStart строку с описанием режима запуска скрипта podsec-inotify-check-images. Скрипт запускается с флагами -vvv -c 100 - выводить подробную информацию, все сообщения имеют уровень c - критический. Если во время работы скрипта обнаружены некорректные настройки политики, они выводятся в системный лог и передаются почтой системному администратору (root).

Расписание запуска сервиса podsec-inotify-check-images.service описывается в параметре OnCalendar файла расписания podsec-inotify-check-images.timer. Сервис вызывается ежечасно.

По умолчанию таймер запуска сервиса выключен. Для его включения наберите команду:

#  systemctl enable --now podsec-inotify-check-images.timer

Если необходимо изменить режим запуска скрипта отредактируйте параметр OnCalendar файла расписания podsec-inotify-check-images.timer.