Kontinuierliche, automatische Überwachung unserer Geräte (Teil 1)

Unsere Geräte verfügen über eine webbasierte Konfigurationsoberfläche, welche es erlaubt, über einen Browser die Geräte zu parametrieren. Für das Management und die Wartung mehrerer Geräte im Netzwerk inklusive Update haben wir das Netdiscover. Doch wie lassen sich viele Geräte im laufenden Betrieb automatisch überwachen?
Ein Ansatz dafür basiert auf den Systemlogs der Geräte.

In unserer neuesten Firmware, der 1.35, wird es unter anderem möglich sein, den Systemlog an ein spezialisiertes Log-Managementsystems zu übertragen, um diesen automatisiert auszuwerten. Diese Funktionalität zeigen wir an unserem Datenlogger MUC.easy^plus und dem Log-Managementsystem Graylog.

Im ersten Teil dieses Blogbeitrages geht es darum, wie die nötige Konfiguration am MUC.easy^plus und Graylog durchzuführen ist.

Doch was ist eigentlich Graylog genau? 

So gut wie jeder Software-Hersteller speichert Logs in seinem eigenen Format und nicht immer sind diese über entsprechende Schnittstellen leicht zugänglich oder gar auswertbar. Diese Aufgabe übernehmen Log-Managementsysteme wie Graylog, welche die Logdateien an zentraler Stelle sammeln und so eine Auswertung über Systemgrenzen hinweg erlauben.

Graylog ist ein Open Source Log-Management System zum Sammeln, Indizieren, Analysieren und Durchsuchen von Systemereignissen/Logdaten.

Es speichert die Logs und erleichtert mit einem leistungsfähigen Such- und Analysewerkzeug das schnelle Durchforsten auch sehr umfangreicher Datenbestände. Damit eignet sich Graylog vor allem für die Suche nach bestimmten Systemereignissen oder Hinweisen.

Das bietet uns und unseren Kunden die Möglichkeit die Systemereignisse von unseren Produkten zentral zu überwachen und aus bestimmten Logereignissen Alarme o. ä. zu generieren. Das könnte zum Beispiel eine Meldung für nicht auslesbare Zähler während der letzten Ausleseperiode sein oder ein fehlgeschlagener Datenversand an ein Drittsystem. Auch denkbar ist eine Überprüfung der Mobilfunkeinwahl bei dem MUC.easy^plus 4G.

Der Generierung von Alarmen widmen wir uns dann im zweiten Teil dieses Blogbeitrages.
Nun aber erst mal zur Konfiguration.

Konfiguration Graylog

Zum Testen wurde bereits ein Graylog-System eingerichtet. Die Installationsanleitung findet man hier: https://docs.graylog.org/en/4.1/pages/installation.html.

Man kann Graylog auch als virtuelle Maschine mit Oracle oder VMWare aufsetzen und testen. Hierzu bietet Graylog direkt schlüsselfertige appliances an, welche Sie unter folgendem Link herunterladen können: https://packages.graylog2.org/appliances.
In Oracle und VMWare lässt sich diese appliance importieren und starten.

Schauen wir uns nun die Weboberfläche von Graylog einmal an.

Als Erstes sieht man ein kurzes „Getting Started“, wo die ersten Schritte gezeigt und erklärt werden.
Im ersten Schritt wird beschrieben, wie die Daten vom MUC.easy^plus ins Graylog übertragen werden. Dafür muss ein Input angelegt und konfiguriert werden. Hierzu einfach auf „System“ -> „Inputs“ gehen.

Input anlegen

Unser MUC.easy^plus überträgt die Daten über TCP. Wie das eingerichtet wird, sieht man weiter unten.
Daher wählt man „Syslog TCP“ in dem Dropdown-Menü „Select Input“ aus.

Konfiguration des Inputs

Nachdem man auf „Launch Input“ geklickt hat, folgt ein Konfigurationsfenster. Hier gibt man neben der Bezeichnung des Inputs auch die IP-Adresse des Servers und einen beliebigen freien TCP-Port an, welchen man für die Übertragung verwenden möchte. In dem Menü gibt es noch einige optionale Punkte und die Konfiguration für TLS, welche wir an der Stelle überspringen.

Nach dem Bestätigen der Konfiguration ist der erste Input erfolgreich angelegt.

Nun klickt man auf „Show received messages“.

Hier sieht es jetzt, wie zu erwarten war, etwas leer aus. Starten wir also mit der Konfiguration des Datenversands am MUC.easy^plus.

Konfiguration des Datenversands (Report)

Hierzu geht man in den Tab „Server“ der Konfigurationswebseite unseres MUC.easy^plus. Unter „Report format“ wählt man nun „Systemlog“ aus und stellt einen minütlichen Reportintervall ein. Unter „report adress“ werden die IP-Adresse und der Port eingetragen, welche im Input konfiguriert wurden. Um mehr Log-Meldungen zu generieren, setzt man den „Log mode“ im Tab „General“ von „Standard“ auf „All“.

Mehr muss an dieser Stelle nicht konfiguriert werden.

Es ist geschafft! Die grundlegende Konfiguration ist damit erledigt. Nun werden Systemmeldungen vom MUC.easy^plus an Graylog reportet bzw. übertragen.

Im nächsten Teil werden wir zeigen, wie man in dem Input nach bestimmten Logmeldungen suchen und Alarme generieren kann.