Аудит zabbix сервера. Триггер на Login failed

[Diesel315]

Добрый день.

В журнале аудита сервера zabbix есть возможность отследить удачные и не удачные входы на frontend сервера.
Хотелось бы настроить триггер на неудачные попытки входа - Login failed.

На ssh вход сервера триггер прикрутили, парсит файл /var/log/secure и оттуда по искомой фразе срабатывает триггер.
А как на frontend сделать что-то идей нет. Может кто подскажет куда копать?

[Diesel315]

Ни у кого нет идей?

[Hamardaban]

все средства визуализации описаны в документации - прочитай и выбери подходяшую.

[Hamardaban]

Наверно я чего-то не понял в ваших хотелках...
попробуйте переформулировать более четко что собираете и что хотите видеть
- решение подскажем

[Diesel315]

Странно что никому не нужно.
Хороший визуализатор, что кому-то в сети делать нечего и подбирает пароль к админке. У нас просто пентест проходит, по ssh сразу увидели попытки взлома. А вот по фронтенду только когда сам полез смотреть аудит.
Думал может это инфа в каком-то логе есть, но пока найти не могу.

[Semiadmin]

В API Zabbix 5.0 появился метод auditlog.get

[Diesel315]

Спасибо за совет. Правда пока на 5.0 не собираюсь переходить, сижу на 4.4.4)
У меня есть негласное внутреннее правило не кидаться на новое, надо подождать пока детские болезни полечат. Да и тут по форуму часто мелькает, что с 5.0 есть проблемки...

[Diesel315]

Наверно я чего-то не понял в ваших хотелках...
попробуйте переформулировать более четко что собираете и что хотите видеть
- решение подскажем

Есть zabbix сервер, у него есть фронтед, хотел настроить уведомления при попытке подбора пароля к этому фронтеду.
Сейчас это можно сделать только, если самому посмотреть в аудите:

Если это есть в каком-то log файле, то найти пока не могу в каком. Предполагаю, что это хранится непосредственно только в базе zabbix.

[Semiadmin]

Предполагаю, что это хранится непосредственно только в базе zabbix.

Таблица auditlog, столбец note.

[Diesel315]

Странное там представление.
mysql> select * from auditlog where details = 'Login failed.';
+---------+--------+------------+--------+--------------+---------------+--------------+------------+--------------+
| auditid | userid | clock | action | resourcetype | details | ip | resourceid | resourcename |
+---------+--------+------------+--------+--------------+---------------+--------------+------------+--------------+
| 6 | 1 | 1575437086 | 3 | 0 | Login failed. | 10.64.60.5 | 0 | |

Почему-то не видно какой логин использовался при подборе пароля, хотя в аудите эта инфа фигурирует. Видать в аудите сборная информация из разных таблиц...

[Hamardaban]

рядом лежит auditlog_details связаны по auditid
но я не нашел в ней данные связанные с ошибкой логина

[Hamardaban]

Как вариант:
Cделайте ЭД у сервера забикс с запросом к БД забикса "select count(details) from auditlog where details like 'Login failed.';"
И триггер на увеличение этого значения (diff \ change)

[Semiadmin]

В auditlog_details - детальная информация о том, какие изменения юзер внес в настройки Заббикса. Неудачный логин к изменениям настроек не приводит. И да, раньше столбец назывался details, а в 5.0 зачем-то переименовали в note. А юзера однозначно определяет userid, вся правда про него - в таблице users.

[Hamardaban]

про юзера - логично.
пришел к такому же выводу