一、graylog 介绍

graylog是一个简单易用、功能较全面的日志管理工具，graylog也采用Elasticsearch作为存储和索引以保障性能，MongoDB用来存储少量的自身配置信息，master-node模式具有很好的扩展性，UI上自带的基础查询与分析功能比较实用且高效，支持LDAP、权限控制并有丰富的日志类型和标准（如syslog，GELF）并支持基于日志的报警。   

二、usbserver 借助graylog 能实现哪些功能

借助graylog 强大的收集和分析能力，usbserver 实现了如下功能

1、基础日志功能

1.1 ukey 的插入/拔出，连接/断开，使用中发送/接收的详细数据包

1.2 客户端实际ukey的连接，断开状态的变化

1.3 集中管理的用户登录/退出，使用ukey 的记录

2、定制分析能力

在基础日志之上，借助graylog 强大的查询分析能力，可以定制实现

2.1 ukey 断线报警，断线信息可通过短信，邮件发送，或者集成到钉钉，企业微信等用户自己的系统

2.2 痕迹分析，记录U盾的全部使用痕迹，可供查询

2.3 行为统计分析：根据用户场景设备分析条目，对人员行为进行分析

2.4风险预警：根据设置的预警条件触发预警信息推送

2.5 审计功能，根据用户的登录，使用ukey 的记录，对正常申请使用、违规超时使用、不合规使用进行审计

三、graylog 配置

graylog 安装见附录,安装完成后，我们配置12201 端口作为输入

点击system->inputs, 选择select input->GELF HTTP（GELF UDP）->lanch new input,端口都选择在12201

usbserver 配置

3.1客户端usb over network client配置

客户端没有配置界面，需要通过api 接口进行配置

安装最新版本的usb专业客户端，启动专业客户端

专业客户端开通了8001 端口作为配置端口，在浏览器中打开

http://localhost:8001

在调试界面修改接口为/api/setting/usbconfig

{"graylog_server":"udp://192.168.2.238:12201"}

其中192.168.2.238修改为服务器ip, 12201 是端口

然后退出重新启动客户端

3.2集中管理配置

打开管理后台，admin/config/ofcsetting

通过nacos 配置

3.3 服务器端配置

首先授权开通了日志功能

在日志管理配置上面的参数

附录 graylog 安装

用docker-compose 安装最方便，docker-compose.yml 配置如下，安装完成后通过浏览器http://ip:9000访问

1. version: '3'

3. services:

4. # MongoDB: https://hub.docker.com/_/mongo/

5.   mongo:

6.     image: mongo:5.0.13

7.     container_name: graylog_mongo

8.     networks:

9.     - graylog

10. # Elasticsearch: https://www.elastic.co/guide/en/elasticsearch/reference/7.10/docker.html

11.   elasticsearch:

12.     image: docker.elastic.co/elasticsearch/elasticsearch-oss:7.10.2

13.     container_name: graylog_elasticsearch

14.     environment:

15.       - http.host=0.0.0.0

16.       - transport.host=localhost

17.       - network.host=0.0.0.0

18.       - "ES_JAVA_OPTS=-Dlog4j2.formatMsgNoLookups=true -Xms512m -Xmx512m"

19.     ulimits:

20.      memlock:

21.       soft: -1

22.       hard: -1

23.     deploy:

24.       resources:

25.         limits:

26.           memory: 1g

27.     networks:

28.       - graylog

29. # Graylog: https://hub.docker.com/r/graylog/graylog/

30.   graylog:

31.     image: graylog/graylog:6.0.2

32.     container_name: graylog

33.     volumes:

34. # Mount local configuration directory into Docker container

35.       - ./config:/usr/share/graylog/data/config

36.     environment:

37. # CHANGE ME (must be at least 16 characters)!

38.       - GRAYLOG_PASSWORD_SECRET=somepasswordpepper

39. # Password: admin

40.       - GRAYLOG_ROOT_PASSWORD_SHA2=8c6976e5b5410415bde908bd4dee15dfb167a9c873fc4bb8a81f6f2ab448a918

41.       - GRAYLOG_HTTP_EXTERNAL_URI=http://127.0.0.1:9100/

42.     entrypoint: /usr/bin/tini -- wait-for-it elasticsearch:9200 --  /docker-entrypoint.sh

43.     networks:

44.       - graylog

45.     restart: always

46.     depends_on:

47.       - mongo

48.       - elasticsearch

49.     ports:

50. # Graylog web interface and REST API

51.       - 9000:9000

52. # Syslog TCP

53.       - 1514:1514

54. # Syslog UDP

55.       - 1514:1514/udp

56. # GELF TCP

57.       - 12201:12201

58. # GELF UDP

59.       - 12201:12201/udp

60. networks:

61.   graylog:

62.     driver: bridge

————————————————