Unique Life

elasticsearch cluster 구성시 연결 안되는 노드 발생할때

기존 노드 데이터랑 연결하려는 노드 데이터랑 상이할 경우 연결이 안됨..

기존 노드 데이터 삭제 후 다시 시작하면 정상적으로 연결 가능

출처: http://dante2k.tistory.com/487

우분투는 데비안 계열이기때문에 dpkg 를 이용하여 .deb 으로 배포되는 배포파일을 설치합니다. 그런고로 그냥 .rpm 배포판을 설치할 수 없는데 rpm 파일을 deb 파일로 변환해서 설치하면 가능합니다.

 변환에 사용하는 프로그램은 alien 이라는 프로그램으로 다음과 같이 설치가 필요합니다.

 이후 변환하고 싶은 rpm 파일을 deb로 변환하는 명령어는 다음과 같습니다.

 위 명령어를 입력후 프로그램마다 걸리는 시간이 좀 다른데 용량이 크면 오래걸립니다. 잠시 기다리면 변환할 파일명과 동일한 deb 파일이 생성이 되고 이는 다음 명령어를 이용하여 설치하면 됩니다.

 이렇게 해서 rpm 패키지로 배포되는 프로그램을 우분투에서 설치하는 방법을 알아보았습니다. 끝.

출처: http://dondon2i.tistory.com/289

This virtual machine is configured for 64-bit guest operating systems. However, 64-bit operation is not possible.

This host supports Intel VT-x, but Intel VT-x is disabled.

Intel VT-x might be disabled if it has been disabled in the BIOS/firmware settings or the host has not been power-cycled since changing this setting.

(1) Verify that the BIOS/firmware settings enable Intel VT-x and disable 'trusted execution.'

(2) Power-cycle the host if either of these BIOS/firmware settings have been changed.

(3) Power-cycle the host if you have not done so since installing VMware Workstation.

(4) Update the host's BIOS/firmware to the latest version.

For more detailed information, see http://vmware.com/info?id=152.

---------------------------

OK   

---------------------------

PC의 BIOS 정보 수정:

CPU 환경 설정에 Intel Virtualization Technology의 값이 Disabled로 되어 있으면 Enabled로 변경.

출처: http://jentalkstoomuch.blogspot.kr/2010/09/writing-custom-ossec-rules-for-your.html

http://ossec-docs.readthedocs.org/en/latest/manual/rules-decoders/create-custom.html

LIDS.pdf

디코더 설정전

# /var/ossec/bin/ossec-logtest
2013/11/01 10:39:07 ossec-testrule: INFO: Reading local decoder file.
2013/11/01 10:39:07 ossec-testrule: INFO: Started (pid: 32109).
ossec-testrule: Type one log per line.

2013-11-01T10:01:04.600374-04:00 arrakis ossec-exampled[9123]: test connection from 192.168.1.1 via test-protocol1

**Phase 1: Completed pre-decoding.
       full event: '2013-11-01T10:01:04.600374-04:00 arrakis ossec-exampled[9123]: test connection from 192.168.1.1 via test-protocol1'
       hostname: 'arrakis'
       program_name: 'ossec-exampled'
       log: 'test connection from 192.168.1.1 via test-protocol1'

**Phase 2: Completed decoding.
       No decoder matched.

디코더 설정후

/var/ossec/etc/decoder.xml

위 파일에 디코더 룰 설정해야 함

<decoder name="ossec-exampled">
  <program_name>ossec-exampled</program_name>
</decoder>

2013-11-01T10:01:04.600374-04:00 arrakis ossec-exampled[9123]: test connection from 192.168.1.1 via test-protocol1

**Phase 1: Completed pre-decoding.
       full event: '2013-11-01T10:01:04.600374-04:00 arrakis ossec-exampled[9123]: test connection from 192.168.1.1 via test-protocol1'
       hostname: 'arrakis'
       program_name: 'ossec-exampled'
       log: 'test connection from 192.168.1.1 via test-protocol1'

**Phase 2: Completed decoding.
       decoder: 'ossec-exampled'

디코더 상세 설정 후

<decoder name="ossec-exampled-test-connection">
  <parent>ossec-exampled</parent>
  <prematch offset="after_parent">^test connection </prematch> <!-- offset="after_parent" makes OSSEC ignore anything matched by the parent decoder and before -->
  <regex offset="after_prematch">^from (\S+) via (\S+)$</regex> <!-- offset="after_prematch" makes OSSEC ignore anything matched by the prematch and earlier-->
  <order>srcip, protocol</order>
</decoder>
다음과 같이 수정 후 로그를 보면.. 다음과 같다.

# /var/ossec/bin/ossec-logtest
2013/11/01 11:03:25 ossec-testrule: INFO: Reading local decoder file.
2013/11/01 11:03:25 ossec-testrule: INFO: Started (pid: 6290).
ossec-testrule: Type one log per line.

2013-11-01T10:01:04.600374-04:00 arrakis ossec-exampled[9123]: test connection from 192.168.1.1 via test-protocol1


**Phase 1: Completed pre-decoding.
       full event: '2013-11-01T10:01:04.600374-04:00 arrakis ossec-exampled[9123]: test connection from 192.168.1.1 via test-protocol1'
       hostname: 'arrakis'
       program_name: 'ossec-exampled'
       log: 'test connection from 192.168.1.1 via test-protocol1'

**Phase 2: Completed decoding.
       decoder: 'ossec-exampled'
       srcip: '192.168.1.1'
       proto: 'test-protocol1'