Top

NSD SECURITY DAY05

1 案例1：常用系統監控命令

1.1 問題

本案例要求熟悉檢視Linux系統狀態的常用命令，為進一步執行具體的監控任務做準備：

1. 檢視記憶體資訊
2. 檢視交換分割槽資訊
3. 檢視磁碟資訊
4. 檢視CPU資訊
5. 檢視網絡卡資訊
6. 檢視埠資訊
7. 檢視網路連線資訊

1.2 方案

一般企業做監控的目的：實時報告系統狀態，提前發現系統的問題。

監控的資源可以分為：共有資料（HTTP、FTP等）和私有資料（CPU、記憶體、程序數等）。

監控軟體可以使用：系統自帶的命令、Cacti監控系統、Nagios監控系統、Zabbix監控系統。

1.3 步驟

實現此案例需要按照如下步驟進行。

步驟一：使用命令檢視計算機狀態資料

1）檢視記憶體與交換分割槽資訊

1. [[email protected] ~]# free                                     //檢視記憶體資訊
2. total used free shared buff/cache available
3. Mem: 16166888 8017696 720016 106504 7429176 7731740
4. Swap: 4194300 218268 3976032
5. [[email protected] ~]# free | awk '/Mem/{print $4}'                //檢視剩餘記憶體容量
6. 720928
7. [[email protected] ~]# swapon -s                                //檢視交換分割槽資訊
8. 檔名                型別            大小        已用        許可權
9. /dev/sda3 partition        4194300    218268    -1

步驟二：檢視磁碟與CPU利用率

1）檢視磁碟資訊

1. [[email protected] ~]# df                                     //檢視所有磁碟的使用率
2. 檔案系統 1K-塊 已用 可用         已用% 掛載點
3. /dev/sda2 476254208 116879624 335159084 26%         /
4. /dev/sda1 198174 133897 49737 73%         /boot
5. [[email protected] ~]# df | awk '/\/$/{print $5}'            //檢視根分割槽的利用率

2）檢視CPU平均負載

1. [[email protected] ~]# uptime                             //檢視CPU負載（1，5，15分鐘）
2. 23:54:12 up 38 days, 14:54, 9 users, load average: 0.00, 0.04, 0.05
3. [[email protected] ~]# uptime |awk '{print $NF}'            //僅檢視CPU的15分鐘平均負載
4. 0.05

步驟二：檢視網絡卡資訊、埠資訊、網路連線資訊

1）檢視網絡卡資訊

1. [[email protected] ~]# ifconfig eth0
2. eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
3. inet 192.168.4.5 netmask 255.255.255.0 broadcast 172.25.0.255
4. inet6 fe80::5054:ff:fe00:b prefixlen 64 scopeid 0x20<link>
5. ether 52:54:00:00:00:0b txqueuelen 1000 (Ethernet)
6. RX packets 62429 bytes 10612049 (10.1 MiB)
7. RX errors 0 dropped 0 overruns 0 frame 0
8. TX packets 5674 bytes 4121143 (3.9 MiB)
9. TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
10. [[email protected] ~]# ifconfig eth0 |awk '/inet /{print $2}'        //檢視IP地址資訊
11. 192.168.4.5
12. [[email protected] ~]# ifconfig eth0 |awk '/RX p/{print $5}'        //網絡卡接受資料包流量
13. 10625295
14. [[email protected] ~]# ifconfig eth0 |awk '/TX p/{print $5}'        //網絡卡傳送資料包流量
15. 4130821

2）檢視埠資訊

1. [[email protected] ~]# ss -ntulp                                //檢視本機監聽的所有埠
2. //-n以數字顯示埠號
3. //-t顯示tcp連線
4. //-u顯示udp連線
5. //-p顯示監聽埠對應的程式名稱

3）檢視網路連線資訊

1. [[email protected] ~]# ss -antup                                //檢視所有的網路連線資訊
2. //-a檢視所有連線狀態資訊

2 案例2：部署Zabbix監控平臺

2.1 問題

本案例要求部署一臺Zabbix監控伺服器，一臺被監控主機，為進一步執行具體的監控任務做準備：

1. 安裝LNMP環境
2. 原始碼安裝Zabbix
3. 安裝監控端主機，修改基本配置
4. 初始化Zabbix監控Web頁面
5. 修改PHP配置檔案，滿足Zabbix需求
6. 安裝被監控端主機，修改基本配置

2.2 方案

使用1臺RHEL7虛擬機器，安裝部署LNMP環境、Zabbix及相關的依賴包，配置資料庫並對Zabbix監控平臺進行初始化操作。使用2臺被監控端，原始碼安裝Zabbix Agent。完成Zabbix實驗需要我們搭建一個實驗環境，拓撲結構如表-1所示。

表-1 實驗拓撲結構

2.3 步驟

實現此案例需要按照如下步驟進行。

步驟一：部署監控伺服器

1）安裝LNMP環境

Zabbix監控管理控制檯需要通過Web頁面展示出來，並且還需要使用MySQL來儲存資料，因此需要先為Zabbix準備基礎LNMP環境。

1. [[email protected] ~]# yum -y install gcc pcre-devel openssl-devel
2. [[email protected] ~]# tar -xf nginx-1.12.2.tar.gz
3. [[email protected] ~]# cd nginx-1.12.2
4. [[email protected] nginx-1.12.2]# ./configure --with-http_ssl_module
5. [[email protected] nginx-1.12.2]# make && make install
6. [[email protected] ~]# yum -y install php php-mysql \
7. > mariadb mariadb-devel mariadb-server
8. [[email protected] ~]# yum -y install php-fpm-5.4.16-42.el7.x86_64.rpm
9. //注意，php-fpm這個軟體包在lnmp_soft/目錄下

2）修改Nginx配置檔案

配置Nginx支援PHP動態網站，因為有大量PHP指令碼需要執行，因此還需要開啟Nginx的各種fastcgi快取，加速PHP指令碼的執行速度。

1. [[email protected] ~]# vim /usr/local/nginx/conf/nginx.conf
2. … …
3. http{
4. … …
5.     fastcgi_buffers 8 16k;                 //快取php生成的頁面內容，8個16k
6.     fastcgi_buffer_size 32k;                 //快取php生產的頭部資訊
7.     fastcgi_connect_timeout 300;             //連線PHP的超時時間
8.     fastcgi_send_timeout 300;                 //傳送請求的超時時間
9.     fastcgi_read_timeout 300;                     //讀取請求的超時時間
10. location ~ \.php$ {
11.      root html;
12.      fastcgi_pass 127.0.0.1:9000;
13.      fastcgi_index index.php;
14.      include fastcgi.conf;
15. }
16. … …

3）啟動服務

啟動Nginx、PHP-FPM、MariaDB服務，關閉SELinux與防火牆。

1. [[email protected] ~]# systemctl start mariadb
2. [[email protected] ~]# systemctl start php-fpm
3. [[email protected] ~]# ln -s /usr/local/nginx/sbin/nginx /sbin/nginx
4. [[email protected] ~]# nginx
5. [[email protected] ~]# firewall-cmd --set-default-zone=trusted
6. [[email protected] ~]# setenforce 0

4）客戶端測試LNMP環境

伺服器建立PHP測試頁面，瀏覽器訪問頁面測試網頁連通性。

1. [[email protected] ~]# cat /usr/local/nginx/html/test.php
2. <?php
3. $i=33;
4. echo $i;
5. ?>
6. [[email protected] ~]# curl http://192.168.2.5/test.php

步驟二：部署監控伺服器Zabbix Server

1）原始碼安裝Zabbix Server

多數原始碼包都是需要依賴包的，zabbix也一樣，原始碼編譯前需要先安裝相關依賴包。

1. [[email protected] lnmp_soft]# yum -y install net-snmp-devel \
2. > curl-devel
3. //安裝相關依賴包
4. [[email protected] lnmp_soft]# yum -y install \
5. > libevent-devel-2.0.21-4.el7.x86_64.rpm
6. //注意libevent-devel這個軟體包在lnmp_soft目錄下有提供
7. [[email protected] lnmp_soft]# tar -xf zabbix-3.4.4.tar.gz
8. [[email protected] lnmp_soft]# cd zabbix-3.4.4/
9. [[email protected] zabbix-3.4.4]# ./configure --enable-server \
10. > --enable-proxy --enable-agent --with-mysql=/usr/bin/mysql_config \
11. > --with-net-snmp --with-libcurl
12. // --enable-server安裝部署zabbix伺服器端軟體
13. // --enable-agent安裝部署zabbix被監控端軟體
14. // --enable-proxy安裝部署zabbix代理相關軟體
15. // --with-mysql配置mysql_config路徑
16. // --with-net-snmp允許zabbix通過snmp協議監控其他裝置
17. // --with-libcurl安裝相關curl庫檔案，這樣zabbix就可以通過curl連線http等服務，測試被監控主機服務的狀態
18. [[email protected] zabbix-3.4.4]# make && make install

2）初始化Zabbix

建立資料庫，上線Zabbix的Web頁面

1. [[email protected] ~]# mysql
2. mysql> create database zabbix character set utf8;
3. //建立資料庫，支援中文字符集
4. mysql> grant all on zabbix.* to [email protected]'localhost' identified by 'zabbix';
5. //建立可以訪問資料庫的賬戶與密碼
6. [[email protected] ~]# cd lnmp_soft/zabbix-3.4.4/database/mysql/
7. [[email protected] mysql]# mysql -uzabbix -pzabbix zabbix < schema.sql
8. [[email protected] mysql]# mysql -uzabbix -pzabbix zabbix < images.sql
9. [[email protected] mysql]# mysql -uzabbix -pzabbix zabbix < data.sql
10. //剛剛建立是空資料庫，zabbix原始碼包目錄下，有提前準備好的資料
11. //使用mysql匯入這些資料即可（注意匯入順序）

上線Zabbix的Web頁面

1. [[email protected] ~]# cd lnmp_soft/zabbix-3.4.4/frontends/php/
2. [[email protected] php]# cp -r * /usr/local/nginx/html/
3. [[email protected] php]# chmod -R 777 /usr/local/nginx/html/*

修改Zabbix_server配置檔案，設定資料庫相關引數，啟動Zabbix_server服務

1. [[email protected] ~]# vim /usr/local/etc/zabbix_server.conf
2. DBHost=localhost
3. //資料庫主機，預設該行被註釋
4. DBName=zabbix
5. //設定資料庫名稱
6. DBUser=zabbix
7. //設定資料庫賬戶
8. DBPassword=zabbix
9. //設定資料庫密碼，預設該行被註釋
10. LogFile=/tmp/zabbix_server.log    
11. //設定日誌，僅檢視以下即可
12. [[email protected] ~]# useradd -s /sbin/nologin zabbix
13. //不建立使用者無法啟動服務
14. [[email protected] ~]# zabbix_server                 //啟動服務
15. [[email protected] ~]# ss -ntulp |grep zabbix_server //確認連線狀態，埠10051
16. tcp LISTEN 0 128 *:10051 *:* users:(("zabbix_server",pid=23275,fd=4),("zabbix_server",pid=23274,fd=4)

提示：如果是因為配置檔案不對，導致服務無法啟動時，不要重複執行zabbix_server，

一定要先使用killall zabbix_server關閉服務後，再重新啟動一次。

修改Zabbix_agent配置檔案，啟動Zabbix_agent服務

1. [[email protected] ~]# vim /usr/local/etc/zabbix_agentd.conf
2. Server=127.0.0.1,192.168.2.5                    //允許哪些主機監控本機
3. ServerActive=127.0.0.1,192.168.2.5                //允許哪些主機通過主動模式監控本機
4. Hostname=zabbix_server                        //設定本機主機名
5. LogFile=/tmp/zabbix_server.log                    //設定日誌檔案
6. UnsafeUserParameters=1                        //是否允許自定義key
7. [[email protected] ~]# zabbix_agentd            //啟動監控agent
8. [[email protected] ~]# ss -ntulp |grep zabbix_agentd //檢視埠資訊為10050
9. tcp LISTEN 0 128 *:10050 *:* users:(("zabbix_agentd",pid=23505,fd=4),("zabbix_agentd",pid=23504,fd=4)

提示：如果是因為配置檔案不對，導致服務無法啟動時，不要重複執行zabbix_agentd，

一定要先使用killall zabbix_agentd關閉服務後，再重新啟動一次。

瀏覽器訪問Zabbix_server伺服器的Web頁面

1. [[email protected] ~]# firefox http://192.168.2.5/index.php
2. //第一次訪問，初始化PHP頁面會檢查計算機環境是否滿足要求，如果不滿足會給出修改建議
3. //預設會提示PHP的配置不滿足環境要求，需要修改PHP配置檔案

根據錯誤提示，修改PHP配置檔案，滿足Zabbix_server的Web環境要求

php-bcmath和php-mbstring都在lnmp_soft目錄下有提供軟體包。

1. [[email protected] ~]# yum -y install php-gd php-xml
2. [[email protected] ~]# yum install php-bcmath-5.4.16-42.el7.x86_64.rpm
3. [[email protected] ~]# yum install php-mbstring-5.4.16-42.el7.x86_64.rpm
4. [[email protected] ~]# vim /etc/php.ini
5. date.timezone = Asia/Shanghai                //設定時區
6. max_execution_time = 300                    //最大執行時間，秒
7. post_max_size = 32M                        //POST資料最大容量
8. max_input_time = 300                        //伺服器接收資料的時間限制
9. memory_limit = 128M                        //記憶體容量限制
10. [[email protected] ~]# systemctl restart php-fpm

修改完PHP配置檔案後，再次使用瀏覽器訪問伺服器，則會提示如圖-1和圖-2所示的提示資訊。

圖-1

圖-2

注意：這裡有一個PHP LDAP是warning狀態是沒有問題的！

在初始化資料庫頁面，填寫資料庫相關引數，如圖-3所示。

圖-3

在登陸頁面，使用使用者(admin)和密碼(zabbix)登陸，登陸後設置語言環境為中文，如圖-4和圖-5所示。

圖-4

圖-5

步驟三：部署被監控主機Zabbix Agent

1）原始碼安裝Zabbix agent軟體

在2.100和2.200做相同操作（以zabbixclient_web1為例）。

1. [[email protected]_web1 ~]# useradd -s /sbin/nologin zabbix
2. [[email protected]_web1 ~]# yum -y install gcc pcre-devel
3. [[email protected]_web1 ~]# tar -xf zabbix-3.4.4.tar.gz
4. [[email protected]_web1 ~]# cd zabbix-3.4.4/
5. [[email protected]_web1 zabbix-3.4.4]# ./configure --enable-agent
6. [[email protected]_web1 zabbix-3.4.4]# make && make install

2）修改agent配置檔案，啟動Agent

1. [[email protected]_web1 ~]# vim /usr/local/etc/zabbix_agentd.conf
2. Server=127.0.0.1,192.168.2.5                //誰可以監控本機（被動監控模式）
3. ServerActive=127.0.0.1,192.168.2.5            //誰可以監控本機（主動監控模式）
4. Hostname=zabbixclient_web1                 //被監控端自己的主機名
5. EnableRemoteCommands=1    
6. //監控異常後，是否允許伺服器遠端過來執行命令，如重啟某個服務
7. UnsafeUserParameters=1                     //是否允許自定義key監控
8. [[email protected]_web1 ~]# zabbix_agentd                //啟動agent服務

3）拷貝啟動指令碼（非必須操作，可選做），有啟動指令碼可以方便管理服務，啟動與關閉服務。啟動指令碼位於zabbix原始碼目錄下。

1. [[email protected]_web1 zabbix-3.4.4]# cd misc/init.d/fedora/core
2. [[email protected]_web1 zabbix-3.4.4]# cp zabbix_agentd /etc/init.d/
3. [[email protected]_web1 zabbix-3.4.4]# /etc/init.d/zabbix_agentd start
4. [[email protected]_web1 zabbix-3.4.4]# /etc/init.d/zabbix_agentd stop
5. [[email protected]_web1 zabbix-3.4.4]# /etc/init.d/zabbix_agentd status
6. [[email protected]_web1 zabbix-3.4.4]# /etc/init.d/zabbix_agentd restart

3 案例3：配置及使用Zabbix監控系統

3.1 問題

沿用練習一，使用Zabbix監控平臺監控Linux伺服器，實現以下目標：

1. 監控CPU
2. 監控記憶體
3. 監控程序
4. 監控網路流量
5. 監控硬碟

3.2 方案

通過Zabbix監控平臺，新增被監控zabbixclient_web1主機（192.168.2.100）並連結監控模板即可，Zabbix預設模板就可以監控CPU、記憶體、程序、網路、磁碟等專案。

3.3 步驟

實現此案例需要按照如下步驟進行。

步驟一：新增監控主機

主機是Zabbix監控的基礎，Zabbix所有監控都是基於Host主機。

使用火狐瀏覽器登入http://192.168.2.5，通過Configuration（配置）-->Hosts（主機）-->Create Host（建立主機）新增被監控Linux主機，如圖-7所示。

圖-7

新增被監控主機時，需要根據提示輸入被監控Linux主機的主機名稱（最好與電腦的主機名一致，但也允許不一致）、主機組、IP地址等引數，具體參考圖-8所示。

圖-8

步驟二：為被監控主機新增監控模板

Zabbix通過監控模板來對監控物件實施具體的監控功能，根據模板來定義需要監控哪些資料，對於Linux伺服器的監控，Zabbix已經內建了相關的模板（Template OS Linux），選擇模板並連結到主機即可，如圖-9所示。

圖-9

步驟三：檢視監控資料

檢視監控資料，登入Zabbix Web控制檯，點選Monitoring(監控中)—> Latest data(最新資料)，正過濾器中填寫過濾條件，根據監控組和監控主機選擇需要檢視哪些監控資料，如圖-10所示。

圖-10

找到需要監控的資料後，可以點選後面的Graph檢視監控圖形，如圖-11所示。

圖-11

4 案例4：自定義Zabbix監控專案

4.1 問題

沿用練習二，使用Zabbix實現自定義監控，實現以下目標：監控Linux伺服器系統賬戶的數量。

4.2 方案

需要使用Zabbix自定義key的方式實現自定義監控，參考如下操作步驟：

1. 建立自定義key
2. 建立監控專案
3. 建立監控圖形
4. 將監控模板關聯到主機

4.3 步驟

實現此案例需要按照如下步驟進行。

步驟一：被監控主機建立自定義key（在192.168.2.100操作）

1）建立自定義key

自定義key語法格式為：UserParameter=自定義key名稱,命令。

自定義的key檔案一般儲存在/usr/local/etc/zabbix_agentd.conf.d/目錄，這裡還需要修改zabbix_agentd.conf檔案，允許自定義監控key，來讀取該目錄下的所有檔案 。

1. [[email protected]_web1 ~]# vim /usr/local/etc/zabbix_agentd.conf
2. Include=/usr/local/etc/zabbix_agentd.conf.d/                //載入配置檔案目錄
3. [[email protected]_web1 ~]# cd /usr/local/etc/zabbix_agentd.conf.d/
4. [[email protected]_web1 zabbix_agentd.conf.d]# vim count.line.passwd
5. UserParameter=count.line.passwd,wc -l /etc/passwd | awk ' {print $1} '
6. ////自定義key語法格式:
7. //UserParameter=自定義key名稱,命令

2）測試自定義key是否正常工作

1. [[email protected]_web1 ~]# killall zabbix_agentd
2. [[email protected]_web1 ~]# zabbix_agentd                                //重啟agent服務
3. [[email protected]_web1 ~]# zabbix_get -s 127.0.0.1 -k count.line.passwd
4. 21

注意：如zabbix_get命令執行錯誤，提示Check access restrictions in Zabbix agent configuration，則需要檢查agent配置檔案是否正確：

1. [[email protected]_web1 ~]# vim /usr/local/etc/zabbix_agentd.conf
2. Server=127.0.0.1,192.168.2.5
3. ServerActive=127.0.0.1,192.168.2.5

步驟二：建立監控模板

模板、應用集與監控專案的關係圖，參考圖-12所示

圖-12

1）新增監控模板

登入Zabbix Web監控控制檯，通過Configuration(配置)-->Template(模板)-->Create template(建立模板)，填寫模板名稱，新建模板群組，如圖-13所示。

圖-13

建立模板後，預設模板中沒有任何應用、專案、觸發器、圖形等，如圖-14所示。

圖-14

2）建立應用

建立完成模板後，預設模板中沒有任何應用、專案、觸發器、圖形等資源。這裡需要點選模板後面的Application（應用集）連結開啟建立應用的頁面，如圖-15所示。

圖-15

點選Application（應用集）後，會刷新出圖-16所示頁面，在該頁面中點選Create application（建立應用集）按鈕。

圖-16

設定應用名稱如圖-17所示。

圖-17

3）建立監控專案item（監控項）

與建立應用一樣，在模板中還需要建立監控專案，如圖-18所示，並在刷新出的新頁面中選擇Create items（建立監控項）建立專案，如圖-19所示。

圖-18

圖-19

接下來，還需要給專案設定名稱及對應的自定義key，如圖-20所示。

圖-20

4）建立圖形

為了後期可以通過圖形的方式展示監控資料，還需要在模板中建立圖形，設定方法與前面的步驟一致，在監控模板後面點選Graph（圖形）即可建立圖形，設定監控圖形基於什麼監控資料，如圖-21所示。

圖-21

5）將模板連結到被監控主機

將完整的監控模板製作完成後，就可以將模板連結到主機實現監控功能了。首先找到被監控主機Configuration（配置）-->Hosts（主機），如圖-22所示。

圖-22

點選需要的被監控主機連結，開啟監控主機設定頁面，在Template（模板）頁面中選擇需要連結到該主機的模板，在此選擇剛剛建立的模板count_line.passwd新增即可，如圖-23所示。

圖-23

6）檢視監控資料圖形

點選Monitoring（監控中）-->Craphs（圖形），根據需要選擇條件，檢視監控圖形，如圖-24和圖-25所示。

圖-25