Logwatch - Versionsgeschichte

Thomas.will: /* ClamAV in Logwatch integrieren */

2025-03-28T06:37:03Z

ClamAV in Logwatch integrieren

Thomas.will: /* Rspamd in Logwatch integrieren */

2025-03-28T06:36:49Z

Rspamd in Logwatch integrieren

Thomas.will: /* Rspamd-Logging aktivieren (falls nicht aktiv) */

2025-03-28T06:36:37Z

Rspamd-Logging aktivieren (falls nicht aktiv)

Thomas.will: /* ClamAV in Logwatch integrieren */

2025-03-21T05:36:26Z

ClamAV in Logwatch integrieren

Thomas.will: /* Rspamd in Logwatch integrieren */

2025-03-21T05:36:14Z

Rspamd in Logwatch integrieren

Thomas.will am 21. März 2025 um 05:35 Uhr

2025-03-21T05:35:52Z

Thomas.will am 21. März 2025 um 05:32 Uhr

2025-03-21T05:32:49Z

Änderungen zeigen

Thomas.will: /* Fazit */

2025-03-21T05:23:38Z

Fazit

Thomas.will am 21. März 2025 um 05:20 Uhr

2025-03-21T05:20:59Z

Thomas.will am 16. März 2025 um 07:36 Uhr

2025-03-16T07:36:41Z

@@ Zeile 69: / Zeile 69: @@
 Konfigurationsdatei '''/etc/logwatch/conf/services/clamav.conf''' erstellen:
-Title = "ClamAV"
+ Title = "ClamAV"
-LogFile = /var/log/clamav/clamav.log
+ LogFile = /var/log/clamav/clamav.log
 Skript '''/etc/logwatch/scripts/services/clamav''' erstellen und ausführbar machen:

@@ Zeile 53: / Zeile 53: @@
 Konfigurationsdatei '''/etc/logwatch/conf/services/rspamd.conf''' erstellen:
-Title = "Rspamd"
+ Title = "Rspamd"
-LogFile = /var/log/rspamd/rspamd.log
+ LogFile = /var/log/rspamd/rspamd.log
 Skript '''/etc/logwatch/scripts/services/rspamd''' erstellen und ausführbar machen:

@@ Zeile 26: / Zeile 26: @@
 Datei '''/etc/rspamd/local.d/logging.inc''' erstellen oder ergänzen:
-type = "file";
+ type = "file";
-filename = "/var/log/rspamd/rspamd.log";
+ filename = "/var/log/rspamd/rspamd.log";
-level = "info";
+ level = "info";
 Rspamd danach neu starten:

@@ Zeile 74: / Zeile 74: @@
 Skript '''/etc/logwatch/scripts/services/clamav''' erstellen und ausführbar machen:
-#!/bin/bash
+ #!/bin/bash
-grep -E "(FOUND|Infected)" | sort | uniq -c | sort -nr
+ grep -E "(FOUND|Infected)" | sort | uniq -c | sort -nr
 Ausführbar setzen:

@@ Zeile 58: / Zeile 58: @@
 Skript '''/etc/logwatch/scripts/services/rspamd''' erstellen und ausführbar machen:
-#!/bin/bash
+ #!/bin/bash
-grep -E "(reject|spam|greylist|action)" | sort | uniq -c | sort -nr
+ grep -E "(reject|spam|greylist|action)" | sort | uniq -c | sort -nr
 Ausführbar setzen:

@@ Zeile 1: / Zeile 1: @@
-= Logwatch mit Debian 12 und journald =
+```
-Logwatch unterstützt standardmäßig kein direktes Auslesen der Logs aus '''journald''', sondern erwartet klassische Log-Dateien. Unter Debian 12 wird '''journald''' verwendet, weshalb Logwatch hier ohne Anpassungen keine brauchbaren Berichte erstellt.
+Logwatch wertet standardmäßig klassische Logdateien unter '''/var/log''' aus. Debian 12 (Bookworm) verwendet jedoch '''journald''', welches keine Text-Logs erzeugt.
-= Voraussetzung =
+Damit Logwatch alle gewünschten Dienste auswerten kann, ist es nötig, '''rsyslog''' zusätzlich zu installieren.
-Um Logwatch mit Debian 12 verwenden zu können, muss '''rsyslog''' installiert werden. '''rsyslog''' erzeugt klassische Log-Dateien unter '''/var/log''', welche von Logwatch ausgewertet werden.
+= rsyslog installieren =
-== rsyslog installieren ==
+'''rsyslog''' schreibt wieder klassische Logdateien.
 * apt install rsyslog
-'''rsyslog''' startet automatisch nach der Installation und schreibt ab sofort klassische Log-Dateien wie '''/var/log/mail.log''', '''/var/log/syslog''', usw.
+Nach der Installation werden automatisch die üblichen Logs wie '''/var/log/syslog''' und '''/var/log/mail.log''' erzeugt.
-= Testen der Log-Dateien =
+= Logdateien prüfen =
-Prüfen, ob klassische Log-Dateien angelegt wurden:
+Prüfen, ob folgende Logdateien existieren und beschrieben werden:
-* ls -l /var/log/mail.log /var/log/syslog
+* ls -l /var/log/mail.log /var/log/syslog /var/log/rspamd/rspamd.log /var/log/clamav/clamav.log /var/log/apache2/access.log /var/log/apache2/error.log
 = Logwatch testen =
-Logwatch manuell ausführen, um zu prüfen, ob Logs erkannt werden:
+Ausgabe von Logwatch sofort auf der Konsole testen:
 * logwatch --output stdout --detail High
-Die Ausgabe enthält nun Postfix, Dovecot, Rspamd und ClamAV, falls diese Dienste aktiv sind.
+Der Bericht enthält nun:
-= Hinweis zur nativen journald-Unterstützung =
+* Nutzung von '''journalctl''' direkt
-Logwatch besitzt aktuell (Stand 2025) keine native journald-Unterstützung und ist somit nicht mehr als State-of-the-Art anzusehen. Alternativen wären direkte Nutzung von '''journalctl''', grafische Lösungen wie '''Cockpit''', oder moderne Monitoring-Tools wie '''Grafana/Loki''' oder der '''ELK-Stack'''.
+Logwatch ist weiterhin nutzbar, wenn klassisches Logging (rsyslog) parallel aktiviert wird, wie oben beschrieben.

@@ Zeile 78: / Zeile 78: @@
   Ausgabe per Mail testen:
   '''logwatch --mailto admin@beispiel.de --detail Med'''
 ==== Fazit ====
-Logwatch reduziert das tägliche Lesen einzelner Logs deutlich und hebt automatisch kritische Ereignisse hervor. Dadurch sparst du Zeit bei der Fehler- und Sicherheitsüberwachung deines Systems.
+* '''Postfix und Dovecot''' laufen '''Out-of-the-box'''.

@@ Zeile 1: / Zeile 1: @@
-=Prinzip von Logwatch=
+Hier ist eine klare, einfache und vollständige Erklärung zu '''Logwatch''' im MediaWiki-Format, mit Fokus auf das Wesentliche und darauf, was genau wie ausgewertet wird:
-=Installation von Logwatch=
+==== Was ist Logwatch? ====
-==Debian/Ubuntu==
+Logwatch ist ein Logfile-Analyse-Tool, das automatisch Systemprotokolle (Logs) auswertet und daraus einen übersichtlichen Bericht erzeugt.
-==Red Hat/CentOS/Rocky Linux==
+==== Welche Logs werden ausgewertet? ====
-*'''sudo dnf install logwatch'''
+Standardmäßig analysiert Logwatch folgende Protokolle:
-=Konfiguration von Logwatch=
+;Systemprotokolle
-*Die Hauptkonfigurationsdatei befindet sich unter:
+* '''auth.log''' – Anmeldungen, fehlerhafte Logins, sudo-Zugriffe
-**'''/etc/logwatch/conf/logwatch.conf'''
+* '''syslog''' – Allgemeine Systemmeldungen, Fehler, Warnungen
-*Wichtige Konfigurationsoptionen:
+* '''kern.log''' – Kernelmeldungen, Hardwareprobleme, Fehler bei Geräten
-**'''Output = stdout''' (Anzeige im Terminal)
+* '''daemon.log''' – Meldungen von Diensten wie SSH, Cron, Postfix, etc.
-=Beispiel: Logwatch-Bericht=
+;Anwendungsprotokolle (falls installiert)
-*Ein typischer Logwatch-Bericht sieht folgendermaßen aus:
+* '''Apache''' – Zugriffe, Fehler, Attacken
- <pre>
+* '''Postfix''' – E-Mail-Versand, Empfang, Spam-Warnungen
- ################### Logwatch  ####################
+* '''SSH''' – Zugriffe, fehlgeschlagene Anmeldeversuche
-  Processing Initiated: Sun Mar 10 06:25:01 2024
+* '''Cron''' – Ausführung und Fehler von Cronjobs
-  Detail Level: Medium
+* '''Fail2Ban''' – IP-Blockaden, Sicherheitswarnungen
-  =================================================
+* '''MySQL/MariaDB''' – Fehler und Warnungen in der Datenbank
-=Manuelle Ausführung von Logwatch=
+==== Wie wird ausgewertet? ====
-*'''sudo logwatch --detail High --output stdout'''
+Logwatch wertet die Logs '''regelmäßig''' (standardmäßig täglich) per Cronjob aus. Es sucht nach:
-=E-Mail-Versand einrichten=
+;Wichtigen Ereignissen
-*In der Datei '''/etc/logwatch/conf/logwatch.conf''' kann die E-Mail-Adresse konfiguriert werden:
+* Kritischen Fehlern (CRITICAL)
-**'''MailTo = admin@example.com'''
+* Fehlgeschlagenen Anmeldungen (Login Failures)
-**'''MailFrom = logwatch@server.local'''
+* Sicherheitsrelevanten Warnungen (SECURITY)
-*Logwatch sendet den Bericht dann täglich an die angegebene Adresse.
+* Abweichungen im normalen Betrieb (z.B. ungewöhnlich viele Zugriffe)
-=Fazit=
+;Gruppierung und Zusammenfassung
-*Logwatch ist ein einfaches, aber effektives Tool zur automatisierten Log-Analyse.
+* Häufig wiederkehrende Meldungen werden '''zusammengefasst''' dargestellt, um den Bericht übersichtlich zu halten.
-*Es hilft, sicherheitsrelevante Ereignisse und Systemfehler schnell zu erkennen.
+* Einzelne Meldungen werden nach '''Typ und Dienst''' (z.B. SSH, Cron, Apache) sortiert.
-*Für erweiterte Anforderungen bieten moderne SIEM-Lösungen wie Wazuh oder ELK umfangreichere Analysefunktionen.