Como configurar Logwatch

 

www.onlinetis.com

Logwatch es una aplicación de código abierto que analiza automáticamente los archivos de registro del sistema y los servidores, y genera informes personalizables por correo electrónico o en un archivo.

---

¿Cómo funciona Logwatch?

Logwatch examina los archivos de registro para detectar eventos, errores, intentos de acceso fallidos y otras actividades relevantes. Luego, utiliza un conjunto de scripts y filtros (o "parsers") para procesar la información y resumir los datos más importantes. En lugar de tener que revisar manualmente gigabytes de datos de registro, Logwatch presenta un informe conciso y legible que destaca lo que es realmente importante. Esto ayuda a los administradores de sistemas a mantenerse informados sobre la salud y seguridad de sus servidores sin una carga de trabajo excesiva.

---

Características clave

• Resumen de registros: En lugar de mostrar los registros completos, presenta un resumen de los eventos más críticos.

• Personalización: Los administradores pueden configurar qué registros monitorear, la frecuencia de los informes (diaria, semanal, etc.) y los destinatarios de los correos electrónicos.

• Seguridad: Ayuda a identificar patrones de ataques, como escaneos de puertos o intentos de inicio de sesión de fuerza bruta, al consolidar las entradas de registro relacionadas.

• Diagnóstico: Facilita la detección temprana de problemas de software o hardware, como fallos de servicio o errores del sistema.

Logwatch es una herramienta esencial en la caja de herramientas de cualquier administrador de sistemas, ya que automatiza una tarea crítica y a menudo tediosa, mejorando la eficiencia y la seguridad.

Configurar Logwatch es un proceso relativamente sencillo, pero hay que tener en cuenta la estructura de sus archivos de configuración. La idea principal es que no debes modificar los archivos de configuración por defecto, sino crear tus propias configuraciones que sobrescriban las opciones predeterminadas.

1. Instalación

Primero, asegúrate de tener Logwatch instalado en tu sistema. El comando varía según tu distribución de Linux:

• En sistemas basados en Debian/Ubuntu:

  Bash

  sudo apt update
  sudo apt install logwatch
  

• En sistemas basados en CentOS/RHEL/Fedora:

  Bash

  sudo yum install logwatch  # o sudo dnf install logwatch
  

2. Archivos de configuración

Logwatch utiliza un enfoque jerárquico para su configuración. La configuración se carga en el siguiente orden, y cada nivel sobrescribe el anterior:

1. /usr/share/logwatch/default.conf/: Contiene los archivos de configuración por defecto. No los modifiques directamente, ya que pueden ser sobrescritos en futuras actualizaciones del paquete.

2. /etc/logwatch/conf/dist.conf/: Archivos de configuración de distribución (generalmente vacíos).

3. /etc/logwatch/conf/: Aquí es donde debes realizar tus cambios. Es el lugar recomendado para personalizar Logwatch.

El archivo principal que querrás modificar es /etc/logwatch/conf/logwatch.conf. Si no existe, puedes crearlo copiando el archivo por defecto:

Bash

sudo cp /usr/share/logwatch/default.conf/logwatch.conf /etc/logwatch/conf/

Luego, edita el archivo con tu editor de texto favorito (por ejemplo, nano o vim):

Bash

sudo nano /etc/logwatch/conf/logwatch.conf

3. Opciones de configuración comunes

Una vez que tengas el archivo logwatch.conf abierto, podrás modificar las siguientes opciones:

• Output = : Define a dónde se envía el informe.

  • stdout: Muestra el informe en la terminal.

  • mail: Envía el informe por correo electrónico.

  • file: Guarda el informe en un archivo (necesitas especificar Filename).

• MailTo = : La dirección de correo electrónico a la que se enviará el informe. Es crucial para recibir los reportes.

  • Ejemplo: MailTo = tu_correo@dominio.com

• MailFrom = : La dirección de correo electrónico desde la que se envía el informe. Esto ayuda a identificar el servidor.

  • Ejemplo: MailFrom = Logwatch@tu_servidor.com

• Detail = : El nivel de detalle del informe.

  • Low: Nivel de detalle bajo (valor 0).

  • Med: Nivel de detalle medio (valor 5).

  • High: Nivel de detalle alto (valor 10).

• Range = : El rango de tiempo que se analizará.

  • today: Analiza los registros desde el comienzo del día actual.

  • yesterday: Analiza los registros del día anterior.

  • all: Analiza todos los registros disponibles (puede tardar mucho).

  • +yesterday: Analiza los registros de las últimas 24 horas.

• Service = : Permite especificar qué servicios de los que tienes logs quieres monitorear. Por defecto es All. Puedes excluir servicios usando un guion (-).

  • Ejemplo: Service = "-http" (excluye los registros de Apache/httpd).

• Format = : El formato del informe.

  • text: Formato de texto plano (por defecto).

  • html: Formato HTML (más legible en algunos clientes de correo).

4. Prueba y ejecución

Después de configurar el archivo, puedes probar la configuración ejecutando Logwatch manualmente para ver el informe en la terminal:

Bash

sudo logwatch --detail High --range today

Esto te mostrará el informe para el día de hoy con un nivel de detalle alto.

5. Programar la ejecución (cron)

Logwatch se ejecuta generalmente de forma automática a través de un trabajo de cron. La mayoría de las instalaciones ya incluyen un script en /etc/cron.daily/ que se encarga de esto. No necesitas hacer nada si ya está configurado.

Si no se ejecuta automáticamente, puedes crear tu propio trabajo de cron. Por ejemplo, para que se ejecute a las 3:00 AM todos los días y envíe el informe por correo, puedes editar el crontab de root:

Bash

sudo crontab -e

Y añade la siguiente línea:

0 3 * * * /usr/sbin/logwatch --output mail

Con estos pasos, tendrás Logwatch configurado para monitorear tus registros y enviarte un informe periódico con los eventos más importantes de tu sistema.