[Anterior: Tagging: Marcado de paquetes] [Contenido] [Siguiente: Rendimiento]

PF: Registros de Bitácora

Índice de Contenidos

• Introducción
• Interpretación de un Fichero de Registro
• Filtrado de la Salida de Registro
• Registro de Paquetes con Syslog

Introduction

El registro de paquetes en PF se realiza mediante pflogd(8), que está a la escucha en la interfaz pflog0 y graba los paquetes en un fichero de registro (generalmente /var/log/pflog) en formato binario de tcpdump(8). Las Reglas de Filtrado en las que se especifican las claves log o log-all registran los paquetes de este modo.

Interpretación de un Fichero de Registro

El fichero de registro grabado por pflogd se encuentra en formato binario, y no se puede leer usando un editor de texto. Hay que usar tcpdump para ver el registro.

Para poder leer el fichero de registro:

# tcpdump -n -e -ttt -r /var/log/pflog

Nótese que el uso de tcpdump para leer el fichero pflog no ofrece una visión en tiempo real. Para obtener una visión en tiempo real de los paquetes registrados, hay que usar la interfaz pflog0:

# tcpdump -n -e -ttt -i pflog0

NOTA: Cuando se examinan los registros, hay que tener un cuidado especial con la descodificación verbosa del protocolo por parte de tcpdump (activada mediante la opción -v en la línea de órdenes). Los descodificadores del protocolo de tcpdump no tienen un historial de seguridad perfecto. En teoría, existe la posibilidad de un ataque retardado a través de las cargas útiles (payloads) parciales de los paquetes registrados por el dispositivo de registro. En la práctica se recomienda trasladar los ficheros de registro desde la máquina de cortafuegos a otra máquina antes de examinarlos de esta forma.

También hay que tener un cuidado adicional al asegurar el acceso a los registros. pflogd registra 96 bytes del paquete en el fichero de registro en el modo predeterminado. El acceso a los registros podría pemitir acceso parcial a cargas útiles de paquetes sensibles (como los nombres de usuario y contraseñas de telnet(1) o ftp(1)).

Filtrado de la Salida de Registro

Como pflogd efectúa los registros en formato binario de tcpdump, se pueden usar todas las funcionalidades de tcpdump para revisar los registros. Por ejemplo, para ver solamente los paquetes que concuerden con un cierto puerto:

# tcpdump -n -e -ttt -r /var/log/pflog port 80

Esto se puede refinar aún más limitando la cantidad de paquetes que mostrará a los que concuerden con una combinación de un cierto anfitrión y puerto:

# tcpdump -n -e -ttt -r /var/log/pflog port 80 and host 192.168.1.3

Se puede aplicar la misma idea cuando se lee desde la interfaz pflog0:

# tcpdump -n -e -ttt -i pflog0 host 192.168.4.2

Nótese que esto no tiene ningún impacto sobre qué paquetes se registran en el fichero de registro de pflogd. Las órdenes anteriores sólo muestran los paquetes que están siendo registrados en ese momento.

Además de usar las reglas de filtrado estándar de tcpdump(8), el lenguaje de filtrado de tcpdump se ha extendido para que pueda leer la salida de pflogd:

• ip - la familia de direcciones es IPv4.
• ip6 - la familia de direcciones es IPv6.
• on int - el paquete ha pasado por la interfaz int.
• ifname int - lo mismo que on int.
• rulenum num - la regla de filtrado con la que ha concordado el paquete es la regla número num.
• action act - la acción que se ha tomado en el paquete. Las acciones pueden ser pass o block.
• reason res - el motivo por el que se ha tomado la acción, action. Los motivos pueden ser match, bad-offset, fragment, short, normalize, y memory.
• inbound - el paquete era un paquete entrante.
• outbound - el paquete era un paquete saliente.

Ejemplo:

# tcpdump -n -e -ttt -i pflog0 inbound and action block and on wi0

Esto muestra el registro, en tiempo real, de los paquetes entrantes que han sido bloqueados en la interfaz wi0.

Registro de Paquetes con Syslog

Hay muchas situaciones en las que es deseable tener los registros del cortafuegos en formato ASCII (texto simple) y/o enviarlos a un servidor de registros remoto. Todo esto se puede conseguir con dos pequeños guiones (scripts), algunos pequeños cambios de los ficheros de configuración de OpenBSD, y el dæmon de registro, syslogd(8). Syslogd realiza los registros en formato ASCII y también puede efectuar los registros en un servidor de registros remoto.

Para ello, primero hay que crear un usuario, pflogger, con el intérprete (shell) /sbin/nologin. La forma más sencilla de crear este usuario es con adduser(8).

Después de crear el usuario pflogger, hay que crear los dos siguientes guiones de ejecución:

/etc/pflogrotate

	FILE=/home/pflogger/pflog5min.$(date "+%Y%m%d%H%M")
	kill -ALRM $(cat /var/run/pflogd.pid)
	if [ $(ls -l /var/log/pflog | cut -d " " -f 8) -gt 24 ]; then
	   mv /var/log/pflog $FILE
	   chown pflogger $FILE
	   kill -HUP $(cat /var/run/pflogd.pid)
	fi

/home/pflogger/pfl2sysl

	for logfile in /home/pflogger/pflog5min* ; do
	   tcpdump -n -e -ttt -r $logfile | logger -t pf -p local0.info
	   rm $logfile
	done

Editar la tarea de cron del usuario root:

# crontab -u root -e

Añadir las dos siguientes líneas:

# rotate pf log file every 5 minutes
0-59/5 * * * * /bin/sh /etc/pflogrotate

Crear una tarea de cron para el usuario pflogger:

# crontab -u pflogger -e

Añadir las siguientes dos líneas:

# feed rotated pflog file(s) to syslog
0-59/5 * * * * /bin/sh /home/pflogger/pfl2sysl

Añadir la siguiente línea a /etc/syslog.conf:

local0.info     /var/log/pflog.txt

Si también se quiere efectuar los registros en un servidor de registros remoto, hay que añadir la línea:

local0.info     @syslogger

Hay que asegurarse de que el anfitrión syslogger se encuentre definido en el fichero hosts(5).

Crear el fichero /var/log/pflog.txt para que syslog pueda escribir registros en él:

# touch /var/log/pflog.txt

Para que syslogd tenga constancia de estos cambios hay que reiniciarlo:

# kill -HUP $(cat /var/run/syslog.pid)

Ahora todos los paquetes registrados son enviados a /var/log/pflog.txt. Si se añade la segunda línea, también se envían al anfitrión de registros remotos syslogger.

Ahora, el guión /etc/pflogrotate procesa y luego elimina /var/log/pflog, de modo que ya no es necesaria la rotación de pflog por newsyslog(8), y debe ser desactivada. Sin embargo, /var/log/pflog.txt sustituye a /var/log/pflog y hay que activar su rotación. Para ello hay que realizar los siguientes cambios en el fichero /etc/newsyslog.conf:

    #/var/log/pflog       600    3    250    *    ZB /var/run/pflogd.pid
    /var/log/pflog.txt    600    7    *      24

Ahora PF realizará los registros en formato ASCII en el fichero /var/log/pflog.txt. Y /etc/syslog.conf enviará los registros a un servidor remoto si ha sido configurado para que lo haga. El registro no es inmediato, y puede tardar entre 5 y 6 minutos (el intervalo de la tarea de cron) antes de que los paquetes registrados aparezcan en el fichero.

[Anterior: Tagging: Marcado de paquetes] [Contenido] [Siguiente: Rendimiento]