SIEM/Log Management [SIEM/Logs Management]-[Lab04]: Tạo reports schedule và Sao lưu, khôi phục dữ liệu

Mục Lục​

I. Giới Thiệu​

II. Tạo Reports Schedule​

III. Cấu hình khôi phục dữ liệu cho Graylog​

---

I. Giới Thiệu​

Trong các hệ thống giám sát log tập trung, việc tạo báo cáo định kỳ và sao lưu dữ liệu đóng vai trò cực kỳ quan trọng nhằm đảm bảo khả năng truy vết, phân tích và khôi phục khi xảy ra sự cố. Graylog không chỉ hỗ trợ tạo báo cáo tự động theo lịch mà còn cho phép người dùng sao lưu và phục hồi toàn bộ dữ liệu hệ thống từ MongoDB, Elasticsearch và cấu hình máy chủ Graylog một cách linh hoạt. Bài viết này sẽ hướng dẫn bạn cách cấu hình tính năng báo cáo định kỳ cũng như quy trình backup và restore dữ liệu trên Graylog.

II. Tạo Reports Schedule​

1. Cài đặt bản Enterprise​

Do ở bản Open không có tính năng tạo Reports Schedule nên chúng ta phải cài bản Enterprise
Sử dụng lệnh: sudo apt-get install graylog-enterprise-plugins

hoặc lệnh: sudo apt-get install graylog-enterprise

để tiến hành cài đặt bản Enterprise.
Trong quá trình cài đặt do ta đã cấu hình trên file config của bản Open nên nó sẽ hỏi là có ghi đè lên file cấu hình của bản cũ không hay giữ lại config? Thì ở đây ta sẽ chọn N hoặc O để giữ lại config cũ

Sau đấy ta sẽ enable và restart lại Graylog:

Truy cập vào Web Interface ta sẽ thấy đã có các tính năng của Enterprise

2. Cài License​

- Sau khi ta mua License, họ sẽ gửi cho ta 1 đoạn text.
- Vào Web Interface. Chọn Enterprise/License => Import new license

Sau khi Import ta sẽ sử dụng được các tính năng của Graylog Enterprise. Như tạo Reports Schedule nhưng do không có bản Trial hay Free Enterprise nên ta sẽ tạm dừng ở đây.

III. Cấu hình khôi phục dữ liệu cho Graylog​

Vì hệ thống của Graylog hoạt động với 3 thành phần chính là
MongoDB - Chứa tất cả cấu hình của Graylog
ElasticSearch - Chứa tất cả các Logs
Graylog - Chứa file config server.
Nên ta chỉ cần Backup các file trên là được.

1. Sao lưu và khôi phục dữ liệu của MongoDB​

Vì tất cả cấu hình của Graylog đều được lưu trữ trên MongoDB. Thế nên ta sẽ tiến hành cấu hình trên MongoDB
Ta chạy lệnh:

mongodump --out ~/graylog-mongo-backup

Nhấn để mở rộng...

Lệnh này sẽ tạo thư mục graylog-mongo-backup chứa tất cả database Mongo, bao gồm graylog

Kiểm tra file backup

Để khôi phục MongoDB
Ta chạy lệnh

mongorestore ~/graylog-mongo-backup

Nhấn để mở rộng...

2. Sao lưu và khôi phục dữ liệu của ElasticSearch​

Để sao lưu dữ liệu của ElasticSearch ta cần tạo thư mục lưu Snapshot

Chỉnh sửa file cấu hình của ElasticSearch, thêm dòng

path.repo: ["/mnt/es_backups"]

Nhấn để mở rộng...

Sau đó khởi động lại ElasticSearch
Tiếp theo đăng ký Snapshot repository:

curl -X PUT "localhost:9200/_snapshot/my_backup" -H 'Content-Type: application/json' -d'
{
"type": "fs",
"settings": {
"location": "/mnt/es_backups",
"compress": true
}
}'

Nhấn để mở rộng...

Cuối cùng tạo snapshot backup:

curl -X PUT "localhost:9200/_snapshot/my_backup/snapshot_4?wait_for_completion=true"

Nhấn để mở rộng...

- Để khôi phục dữ liệu của ElasticSearch ta chỉ cần POST lại snapshot đã lưu:

curl -X POST "localhost:9200/_snapshot/my_backup/snapshot_4/_restore"

Nhấn để mở rộng...

3. Sao lưu và khôi phục dữ liệu của Graylog​

Về Graylog ta chỉ cần sao lưu file cấu hình server là được
Đầu tiên tạo thư mục backup:

mkdir -p ~/graylog-backup

Nhấn để mở rộng...

Sau đó sao lưu file:

sudo cp /etc/graylog/server/server.conf ~/graylog-backup/server.conf.backup

Nhấn để mở rộng...

Kiểm tra file backup

Vậy là xong!

Kết luận​

Do tính năng tạo Reports Schedule chỉ có ở bản Enterprise và không free cũng như không có trial nên tính năng này tạm thời không thể sử dụng được. Việc triển khai thành công báo cáo định kỳ và sao lưu – khôi phục dữ liệu giúp hệ thống Graylog vận hành ổn định, đảm bảo tính liên tục trong việc giám sát log, đồng thời giảm thiểu rủi ro mất mát dữ liệu. Dù bạn sử dụng phiên bản Open hay Enterprise, việc thực hiện thường xuyên các bước backup – restore là điều bắt buộc trong môi trường thực tế.