Graylog คืออะไร และวิธีติดตั้งบน Cloud Server

ทดสอบบน Ubuntu Server 24.04 LTS ที่ติดตั้ง Docker แล้ว

1. 1

   ตั้งค่าระบบที่จำเป็น

   คัดลอก

   sudo sysctl -w vm.max_map_count=262144
   echo "vm.max_map_count=262144" | sudo tee -a /etc/sysctl.conf

2. 2

   สร้างค่าลับสำหรับระบบ

   ต้องมีทั้งคีย์ลับที่ยาวและรหัสผ่านผู้ดูแลระบบที่ผ่านการแฮชแล้ว

   คัดลอก

   openssl rand -base64 32
   echo -n "YourAdminPassword" | shasum -a 256

3. 3

   สร้างไฟล์ docker-compose.yml

   คัดลอก

   services:
     mongodb:
       image: mongo:7
       volumes: [ ./mongo:/data/db ]
       restart: unless-stopped
   
     opensearch:
       image: opensearchproject/opensearch:2
       environment:
         - discovery.type=single-node
         - plugins.security.disabled=true
         - OPENSEARCH_JAVA_OPTS=-Xms4g -Xmx4g
       volumes: [ ./os-data:/usr/share/opensearch/data ]
       restart: unless-stopped
   
     graylog:
       image: graylog/graylog:6.0
       environment:
         GRAYLOG_PASSWORD_SECRET: PASTE_RANDOM_SECRET
         GRAYLOG_ROOT_PASSWORD_SHA2: PASTE_SHA256_HASH
         GRAYLOG_HTTP_EXTERNAL_URI: https://logs.example.com/
         GRAYLOG_MONGODB_URI: mongodb://mongodb:27017/graylog
         GRAYLOG_ELASTICSEARCH_HOSTS: http://opensearch:9200
       depends_on: [ mongodb, opensearch ]
       ports:
         - "127.0.0.1:9000:9000"
         - "1514:1514/udp"
         - "12201:12201/udp"
       restart: unless-stopped

4. 4

   สั่งรัน

   คัดลอก

   docker compose up -d
   docker compose logs -f graylog

5. 5

   ตั้ง Nginx และ HTTPS

   คัดลอก

   sudo certbot --nginx -d logs.example.com

6. 6

   เปิดช่องรับ Log และตั้งค่าฝั่งเซิร์ฟเวอร์ปลายทาง

   สร้าง Input ชนิด Syslog ในหน้าจอ แล้วตั้งให้เซิร์ฟเวอร์ปลายทางส่ง Log มาที่เครื่องนี้

   คัดลอก

   # บนเซิร์ฟเวอร์ที่ต้องการส่ง Log
   echo "*.* @10.10.0.80:1514" | sudo tee /etc/rsyslog.d/90-graylog.conf
   sudo systemctl restart rsyslog

วางแผนพื้นที่ดิสก์ตามปริมาณ Log ต่อวันคูณจำนวนวันที่ต้องเก็บ และตั้งนโยบายลบข้อมูลเก่าตั้งแต่ต้น เพราะดิสก์เต็มจะทำให้ระบบหยุดรับ Log ทั้งองค์กร