Analyse van router syslog-gegevens

[_eXistenZ_]

Wat ik wil

Mijn router, een Draytek 2800, kan via syslog een stroom van gegevens uitzenden over welke verbindingen tussen welke poorten en IP's gelegd zijn, of welke geblocked zijn. Tevens kan het ding uitzenden wat de status van mijn ADSL lijn is en zo nog wat andere dingen.

Ik wil deze gegevens op een sexy manier kunnen bekijken door middel van een client - of het liefst via een webinterface - die tabellen kan maken (Meest bezochte websites bijv, of meest geblockte poorten) of in een grafiek weer kan geven hoeveel verbindingen in een bepaald uur gemaakt zijn ofzo.

Wat heb ik toen opgezocht?

Ik ben op internet rond wezen kijken voor software die dit kan, en kom dan op de volgende software uit:

• Snort + BASE
Voordelen: Gratis, open source.
Nadelen: Moet op je Linuxbak aka router draaien om te werken.

• ManageEngine EventLog Analyzer
Voordelen: Super gelikte interface, veel mogelijkheden.
Nadelen: Werkt niet met mijn router.

• ManageEngine Firewall Analyzer
Voordelen: Super gelikte interface, veel mogelijkheden.
Nadelen: Werkt niet met mijn router.

• StonyLake Firewall Reporter
Voordelen: Werkt aardig mooi, dmv Java.
Nadelen: Werkt niet met mijn router.

Mijn probleem

Ik kan dus geen mooie software vinden waarmee ik de data in real time (Of met een update eens per 5 minuten ofzo) kan monitoren... Wie weet hier dus een mooie tool voor? Maakt niet uit voor welk OS, maar liever voor Linux dan voor Windows.

[DJFliX]

Er bestaat vast een soort-van oplossing voor, maar ik betwijfel of het kant en klaar is/werkt. ALS je statistieken wilt, zul je toch echt inderdaad OF een losse bak de gegevens laten verwerken en laten parsen tot een pagina (of dat op aanvraag doen, of ... whatever) OF inderdaad een Linksys WRT54GL o.i.d pakken en custom firmware erin laden...
Volgens mij is het protocol van logjes vrij standaard? tegenwoordig bieden heel veel routers een soortgelijk iets aan.
Ik ben zelf bezig met een soort script voor mijn server dat in alle manageble devices in de webinterface inlogt, bepaalde besturingselementen/delen uit de interface haalt, en samengooit in een interface (zodat je bijvoorbeeld makkelijk je access points kunt beheren, al je apparatuur rebooten als je internet er net uit heeft gelegen... to be continued) maar misschien is een logverzamelaar een goede aanvulling voor troubleshooting
Kom ik nog op terug (hoop ik)

[Bor]

Ik begrijp niet precies wat je nu echt wilt. Een standaard syslog daemon is blijkbaar niet genoeg? Indien dit wel genoeg is kun je kijken naar Kiwi Syslog Daemon en mogelijk zelf iets scripten / coden?

[CrankyGamerOG]

de eerste die je aanhaalt , snort , deze gebruik ik ook, maar dan icm met snortsam
het is dus een actief defense system geworden ipv alleen een analyzer

Dan krijg je dus zon log output ongeveer
uiteraard is er meer te lezen kwa info maar de screenie kan niet de hele pagina beslaan

En hier de aanvallers met de ssid's

mijn ip's eruit gesoept om duidelijke redenen

ik zou zeggen ga eens kijken naar ClarkConnect ?, deze gebruik ik ook op me firewall/router/AP/ all in one

Bor de Wollef schreef op zondag 30 september 2007 @ 11:33:
Ik begrijp niet precies wat je nu echt wilt. Een standaard syslog daemon is blijkbaar niet genoeg? Indien dit wel genoeg is kun je kijken naar Kiwi Syslog Daemon en mogelijk zelf iets scripten / coden?

kom op zeg, hij zegt precies wat hij wilt, hoe wil ik het anders snappen ?, kom op man

[ Voor 66% gewijzigd door CrankyGamerOG op 30-09-2007 11:47 ]

[_eXistenZ_]

Beide linkjes zijn forbidden, ik ben echt benieuwd wat daar moet staan Dus als je ff de permissions wil checken, heel graag

/edit

Dat werkt nog steeds op een apart linuxbox, heb ik niks aan volgens mij

[ Voor 25% gewijzigd door _eXistenZ_ op 30-09-2007 14:01 ]

[paella]

Snort is ook een windows port voor. En anders: toch linux, en ga bij vmware.com kijken naar een mooie appliance voor monitoring die je met de player draait. Allemaal gratis en leerzaam.

[ Voor 69% gewijzigd door paella op 30-09-2007 14:29 ]

[Bor]

CrankyGamerOG schreef op zondag 30 september 2007 @ 11:40:
kom op zeg, hij zegt precies wat hij wilt, hoe wil ik het anders snappen ?, kom op man

Anders reageer je even normaal zeg. Dit zegt meer over jou dan over mij tbh.

Er zijn natuurlijk legio meer zaken die onduidelijk zijn in de startpost. Mag het wat kosten? Hoeveel mag het kosten? Wat wil je PRECIES zien? Moet het open source zijn? Ben je zelf in staat / van plan iets te ontwikkelen? Verder raad jij clarkconnect aan terwijl de ts alleen zijn bestaande router wil uitlezen

Tevens kan het ding uitzenden wat de status van mijn ADSL lijn is en zo nog wat andere dingen.

Statussen etc is imho overigens meer een snmp aangelegenheid dan iets wat je echt met syslog wilt uitlezen.

CrankyGamerOG schreef op zondag 30 september 2007 @ 11:40:
de eerste die je aanhaalt , snort , deze gebruik ik ook, maar dan icm met snortsam
het is dus een actief defense system geworden ipv alleen een analyzer

Dan krijg je dus zon log output ongeveer
uiteraard is er meer te lezen kwa info maar de screenie kan niet de hele pagina beslaan

En hier de aanvallers met de ssid's

mijn ip's eruit gesoept om duidelijke redenen

Beide linkjes werken niet, 403.

[ Voor 30% gewijzigd door Bor op 30-09-2007 14:36 ]

[Mr_gadget]

Misschien kan SNMP gebruiken, hiermee kan je dan op een server met mrtg mooie grafiekjes van maken?

[_eXistenZ_]

Mijn router kan zowel SNMP als syslog. SNMP komt afaik alleen het dataverkeer in GB of MB ofzo uit. Ook leuk maar ik wil juist kunnen zien welke poorten, IP's enzovoort vaak voorkomen ofzo. Iig de stats uit mijn syslog.

[CrankyGamerOG]

_eXistenZ_ schreef op zondag 30 september 2007 @ 13:59:
Beide linkjes zijn forbidden, ik ben echt benieuwd wat daar moet staan Dus als je ff de permissions wil checken, heel graag

/edit

Dat werkt nog steeds op een apart linuxbox, heb ik niks aan volgens mij

jah omdat je te laat bent (maar goed ook)lol. ik heb een trojan ontdekt in me website, dus offline

[paella]

Dus we zijn maar wat blij dat we 403 kregen...

[alt-92]

Mja.

het is dus een actief defense system geworden

Ontopic:
Draytek heeft zelf wel syslogging tools gehad voor de 2500/2600 series destijds, maar ik kan me alleen niet meer herinneren of de syslog data ook normaal voor syslogd te parsen was.

Het is denk ik weinig zinvol te verwachten dat je router zelf deze functionaliteiten m.b.t. analyse gaat leveren want daar zijn die dingen gewoon niet voor bedoeld.
Opslaan van je syslogdata kost ruimte, en proc-load en daar is een router niet sterk genoeg voor.

Je zal dus toch een externe doos met een app moeten gebruiken hiervoor.

[CrankyGamerOG]

alt-92 schreef op maandag 01 oktober 2007 @ 16:39:
Mja.

[...]

lol alt-92, je conclusie is grappig maar je slaat compleet de plank mis

het snort ips draait dus niet op het systeem waar de pics gehost waren

maar dus op mijn thuis server