Graylog
Оскільки двоє людей вже порадили вам переосмислити свій поточний процес (який я другий, оскільки він спричинить у вас безсонні ночі в якийсь момент;)), я піду іншим маршрутом і рекомендую конкретний програмний продукт, який, на мою думку, підходить більшості ваші потреби: Graylog .
Я реалізував і використав пару стеків ELK як для агрегації журналів, так і для бізнес-розвідки, а також вже близько двох років запускаю / підтримую сірий журнал у мого роботодавця. Я рекомендую сірий журнал, оскільки він має вбудовані функції та, на мою думку, трохи простіше в налаштуванні та обслуговуванні:
- Веб-інтерфейс
- Багатокористувацькі можливості
- Сповіщення
Наскільки я розумію ваш сценарій, виглядає так, ніби вам потрібно діяти або отримувати сповіщення про певні події, які з’являються у вашому потоці повідомлень журналу. Якщо ми подивимось на функції Graylog :
Запускайте дії або отримуйте сповіщення, коли щось потребує уваги, наприклад, невдалі спроби входу, винятки або зниження продуктивності.
Ідеї: надішліть електронною поштою або повідомлення про слабке повідомлення своїй команді. Породжують нову машину, щоб збалансувати обробку навантаження. Блокуйте IP-діапазони ваших брандмауерів автоматично при виявленні атаки.
Щоб спробувати сірий журнал, я рекомендую наступні два кроки:
- Налаштуйте спеціальний хост, який доступний усім хостам додатків для запуску сірого журналу (та його залежностей MongoDB та ElasticSearch)
- Надсилайте журнали зі своєї програми до сірого журналу (можливо, як повідомлення GELF )
Примітка. Ці два кроки мають можливість заповнювати сторінки та сторінки найкращих практик і повинні отримувати хоча б пару думок. Не кажучи вже про те, що сірий журнал не є моніторним рішенням, а сам сірий журнал слід контролювати за допомогою відповідного інструменту моніторингу (наприклад, Icinga, Prometheus, Nagios, щоб назвати лише кілька).