El Blog de Jorge de la Cruz

El Blog de Jorge de la Cruz - Todas las novedades sobre VMware, Veeam, InfluxData, Grafana, Zimbra, etc.

En busca del Dashboard Perfecto: InfluxDB, Telegraf, y Grafana – Parte XLII (Eventos de Auditoría de Veeam ONE v12)

- Escrito en: opensource

Saludos amigos, Veeam ONE v12 ha sido lanzado hace unas semanas, hay cientos de mejoras sobre las que escribiré en este blog en breve. Pero antes de saltar a las grandes características nativas, quería mostraros el arte de lo posible una vez más.

Veeam ONE v12 viene con una nueva funcionalidad de Auditoría que almacena en los Registros de Eventos de Windows, absolutamente todo lo que ocurre en el entorno de Veeam ONE, es decir, cambios en la Infraestructura, cambios de contraseñas, vistas de reportes, logins exitosos/incorrectos, etc. Y eso, queridos amigos, es poder, una fuente infinita de poder que debemos controlar, monitorizar y tener a mano.

Esta entrada del blog trata sobre monitorizar el Windows Events Log de Veeam ONE usando telegraf, pero por supuesto podemos monitorizar cualquier otro Windows Events Log de tu elección y construir algo similar.

Dashboard de Grafana para una visión rápida sobre los eventos de auditoría de Veeam ONE.

Cuando termines la entrada tendrás algo parecido a este Dashboard, variará en el caso de que tengas algún Servidor Veeam ONE más, Usuarios, etc:

Dashboard – Resumen

  • Resumen de Eventos de Auditoría de Veeam ONE – En la barra superior podemos encontrar un resumen rápido de los Eventos de Veeam ONE, como cuántos Fallos de Login, Logins Exitosos, Cambios de Infraestructura, Añadidos de Infraestructura, Borrados de Infraestructura e Informes Vistos.
  • Resumen de autenticación (widget de la izquierda) – Un rápido y sencillo donut que muestra cuántos usuarios han intentado iniciar sesión, con éxito o por error.
  • Auditoría de cambios en la infraestructura (widget del centro) – Otro donut, esta vez para mostrar cuántos cambios se han producido en la infraestructura, agrupados por usuario.
  • Informes vistos – (widget de la derecha) – Último donut, ¿quién no quiere ver qué informe es el más popular y ha sido previsualizado más veces? Ahora puedes verlo fácilmente.
  • Anomalías de autenticación – Detalles – Una tabla detallada con el intento de inicio de sesión específico, en este caso sólo muestra los de error. Mostrará la marca de tiempo, el nombre de usuario, la dirección IP y el servidor Veeam ONE.
  • Cambios en la Infraestructura – Detalles – Una tabla detallada que resalta todos los Cambios que han ocurrido en la Infraestructura, perfecto para ver cuando se cambiaron las credenciales para monitorizar vSphere, o cuando se añadió ese servidor VBR, etc.
  • Todos los logs, en crudo – Si queremos profundizar en los registros sin procesar, pero no queremos entrar en el servidor VeeamONE, aquí podemos ver rápidamente todos los detalles que necesitamos, por evento.

Topología con todos los componentes lógicos

Esta entrada es muy similar a las anteriores, utilizaremos un script de shell para recoger las métricas de User Logins a nuestro Veeam Restore Portal utilizando Azure Graph. El diseño sería algo similar a esto:

Cómo descargar y configurar telegraf para Microsoft Windows

Como podemos ver, telegraf ya tiene un plugin de Windows Event Log listo para ser utilizado. Antes de hacer uso de él, necesitamos descargar telegraf como agente en nuestro Veeam ONE Server, y configurarlo correctamente.

Realmente sencillo, desde un PowerShell con derechos de administrador, ejecutamos los siguientes comandos (¡usar la versión más reciente de telegraf!):

wget https://dl.influxdata.com/telegraf/releases/telegraf-1.25.1_windows_amd64.zip -UseBasicParsing -OutFile telegraf-1.25.1_windows_amd64.zip
Expand-Archive .\telegraf-1.25.1_windows_amd64.zip -DestinationPath 'C:\Program Files\InfluxData\telegraf\'
cd "C:\Program Files\InfluxData\telegraf"
mv .\telegraf-1.25.1\telegraf.* .

Eso ha instalado la última versión de telegraf, se ha movido a la ruta correcta, etc. Vamos a añadirlo ahora como Servicio de Windows:

.\telegraf.exe --service install --config "C:\Program Files\InfluxData\telegraf\telegraf.conf"

Pasemos a la parte de configuración, no hay mucho que hacer, sólo asegurarse de que su agente utiliza el nombre de host, la salida es correcta también. Por ejemplo, aquí está mi agente y la sección de salidas:

[agent]
  interval = "10s"
  round_interval = true

  metric_batch_size = 1000
  metric_buffer_limit = 10000
  collection_jitter = "0s"

  flush_interval = "10s"
  flush_jitter = "0s"

  precision = "0s"
  logtarget = "file"
  logfile = "C:/Program Files/InfluxData/telegraf/telegraf.log"

  hostname = "veeamone.jorgedelacruz.es"

  omit_hostname = false

[outputs.influxdb_v2]
   urls = ["https://YOURINFLUXDB:8086"]
   token = "YOUROWNTOKEN"
   organization = "NAMEOFYOURORG"
   bucket = "YOURBUCKET"

Y por último, al final del archivo, vamos a añadir el realmente potente analizador de registro de eventos de Windows:

[[inputs.win_eventlog]]
  xpath_query = '''
<QueryList>
  <Query Id="0" Path="Veeam ONE">
    <Select Path="Veeam ONE">*</Select>
  </Query>
</QueryList>
'''

  process_userdata = true
  process_eventdata = true
  separator = "_"
  only_first_line_of_message = true
  timestamp_from_event = true
  event_tags = ["Source", "EventID", "Level", "LevelText", "Task", "TaskText", "Opcode", "OpcodeText", "Keywords", "Channel", "Computer"]
  event_fields = ["*"]
  exclude_fields = ["TimeCreated", "Binary", "Data_Address*"]
  exclude_empty = ["*ActivityID", "UserID"]

Estamos listos para ir, tan simple como desde el PowerShell:

telegraf.exe --service start

Grafana Dashboards

He creado un Dashboard desde cero seleccionando las mejores peticiones a la base de datos, rematando colores, pensando en gráficos, y en cómo mostrarlos, y todo automatizado para que se adapte a nuestro entorno sin ningún problema y sin tener que editar nada manualmente. El Dashboard lo puedes encontrar aquí, una vez importado, puedes utilizar los menús desplegables superiores para seleccionar entre VeeamONE Servers, y Users:

Importar Grafana Dashboards fácilmente

Ya tengo un maravilloso Dashboard, listo sólo para ti con todo lo necesario para monitorizar nuestro entorno de una forma muy sencilla. Selecciona el nombre que quieras e introduce el ID: 18054, que es el ID único del Dashboard, o la URL:

Con los menús de arriba puedes visualizar y ajustar el dashboard a tus diferentes opciones:

Y también en modo claro, que se que a veces os gusta en Grafana:

Por favor, deja tu opinión en los comentarios, o en GitHub.

Eso es todo amigos, si queréis seguir la serie completa del Blog sobre Grafana, InfluxDB, Telegraf, por favor pinchad en los siguientes enlaces:

Reader Interactions

Leave a Reply

Your email address will not be published. Required fields are marked *

This site uses Akismet to reduce spam. Learn how your comment data is processed.