Optimisation Jeedom: logwatch

Discussions Générales
1

Bonjour

Je recherche actuellement un programme surveillant mes logs système en open source sur Linux, j’ai trouvé logcheck et logwatch. J’ai installé logwatch intégré dans les paquets Debian qui m’a ressorti pas mal de choses. Le programme logwatch scrute les journaux, comptabilise le nombre de fois qu’un événement lui semble suspect et envoie par mail son rapport. Il est possible de faire un lancement du programme en manuel.
J’ai fait une recherche sur le forum sur logwatch sur les sujets et messages, aucun résultat n’est ressorti.

Mon système Jeedom: VM Debian 11 sur Proxmox

Voici un extrait du rapport de logwatch sous Jeedom:

--------------------- Sudo (secure-log) Begin ------------------------ 
 **Unmatched Entries**
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.193: 1442 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/chmod +x if: 864 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/chown -R www-data:www-data /var/www/html/plugins/AdGuard/core/class/../../data/: 580 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/chmod -R 775 /var/www/html/plugins/AdGuard/core/class/../../data/: 580 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.238: 342 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.116: 321 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.181: 290 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.123: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/chmod +x /var/www/html/plugins/script/data/memjc.sh: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 193.70.36.240: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/chmod +x /var/www/html/plugins/script/data/cache.sh: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.220: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.184: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.248: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/chmod +x /var/www/html/plugins/script/data/memphone.sh: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.29: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.127: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.27.67: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.28: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.33: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.254: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/chmod +x /var/www/html/plugins/script/data/memjmqtt.sh: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.182: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/chmod +x /var/www/html/plugins/script/data/tempon.sh: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.174: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.250: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.139: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/chmod +x /var/www/html/plugins/script/data/memMariaDB.sh: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.186: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.183: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.185: 288 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.55: 149 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.234: 147 Time(s)
    www-data : PWD=/var/www ; USER=root ; COMMAND=/usr/bin/ping -n -c 1 -t 255 192.168.1.146: 147 Time(s)

Etude de l’extrait :

  • Plugin Network qui pingue le matériel sur IP :
    1442 un ping toutes les minutes c’est beaucoup trop.
    288 un ping toutes les 5 minutes
    J’ai réglé tout à 15 mn.

  • Plugin Adguard :
    582 : je n’avais pas paramétré le cron, erreur de ma part

  • Plugin script : Script mémoire reparamétré à 15 mn

etc…

Je vous laisse découvrir la suite qui est fonction de votre paramétrage de Jeedom.

Installation de Logwatch : Niveau Intermédiaire Linux pour l’envoi des mails, faire une sauvegarde de votre Jeedom avant installation.

https://doc.ubuntu-fr.org/logwatch

1- Logwatch

sudo apt install logwatch
sudo mkdir /var/cache/logwatch

En CLI vous pouvez lancer logwatch le rapport doit apparaître.

Un petit bug est présent sur la version de la Debian 11 qui n’a pas d’incidence sur le rapport:

--------------------- EXIM Begin ------------------------ 

 Use of uninitialized value $SelfSigned in concatenation (.) or string at /usr/share/logwatch/scripts/services/exim line 334, <STDIN> line 375.
 
 --- Self-Signed Certificate in use (  Time(s))
 
 ---------------------- EXIM End -------------------------

2- Paramétrage Exim4 (mail) :
Pour le mail le programme exim4 est installé sur mon Jeedom mais n’est pas paramétré pour envoyer des mails en externe.

J’ai suivi le tuto ici:

https://debian-facile.org/doc:reseau:exim4-pour-les-nulls

Pour tester le bon fonctionnement d’exim4 :

echo "This is a test" | mail -s Testing votreadressemail@votredomaine.xx

3- Paramétrage Logwatch pour les mails :

sudo cp /usr/share/logwatch/default.conf/logwatch.conf /etc/logwatch/conf/

Modifier les paramètres suivants du fichier logwatch.conf :

Output = mail
MailTo = votre adresse mail
MailFrom = votre adresse mail

Bien paramétrer le « MailFrom » avec votre adresse, j’avais laissé « logwatch » le serveur de Free le considérait comme un spam.

Conclusion: logwatch a mis en évidence des erreurs de paramétrage de mon Jeedom, on peut aller plus loin avec les différentes règles comme on le fait avec fail2ban. Mon but est aussi de l’installer pour surveiller Proxmox. Je suis encore au stade de la découverte de logwatch.

Cordialement

Ajout :
Précision concernant l’envoi des mails, le paramétrage d’exim4 est un paramétrage de base pour test.
L’envoi des mails n’est pas sécurisé, un paramétrage complémentaire de sécurisation devra être effectué en fonction du serveur smtp de votre FAI.

2 « J'aime »
2

Il te manque un serveur SMTP dans ton lan pour éviter que tes mails fassent le tour du monde.

3

Bonjour Jeandhom

Oui, J’y avais pensé mais j’ai déja 3 VM en relation avec la VM Jeedom, cela prend déjà du temps pour maintenir tout ce petit monde, les sauvegardes et les mises à jour. La difficulté dés que tu sors de ton réseau local c’est la sécurité et les serveurs mail ne sont pas les plus simples à paramétrer.
J’avais mal paramétré le smtp ( pas de sécurité port 25 ) sur une de mes adresses mail, Free m’a remonté les bretelles. J’ai supprimé l’adresse mail.

Cordialement

1 « J'aime »
4

Il me semble que les NAS Synology permettent d’avoir un serveur mail. Tant que ça reste local et qu’il n’y a rien qui entre ni ne sort depuis/vers le serveur smtp, c’est safe.