LOG YÖNETİMİ Sisteminizin Log Kaçırıp Kaçırmadığını Test Etmek İster Misiniz?

1. LOG YÖNETİMİ Sisteminizin Log Kaçırıp Kaçırmadığını Test Etmek
İster Misiniz?
Dr. Ertuğrul AKBAŞ
eakbas@gmail.com
EPS DEĞERLERİ
Sistemin saniyede ne kadar log ürettiğini gösteren parametredir. Örnek Veriler.
100 Cihazlık bir ağ için
Ortalama EPS : 40
Peak EPS : 2500
Ortalama Peak EPS: 1500
250 Cihazlık bir ağ için
Ortalama EPS : 100
Peak EPS : 6000
Ortalama Peak EPS: 4000
500 Cihazlık bir ağ için
Ortalama EPS : 200
Peak EPS : 12500
Ortalama Peak EPS: 7500
1000 Cihazlık bir ağ için
Ortalama EPS : 400
Peak EPS : 25000
Ortalama Peak EPS: 15000

2. LOG Yönetimi Sisteminde Görülmesi Gereken Log Miktarı
Yukarıda EPS değerleri verilen sistemlerde günde birikmesi gereken log miktarı
Cihaz Sayısı
Yaklaşık EPS
Günlük Log Miktarı
100
250
500
1000
250 EPS
600 EPS
1500 EPS
3000 EPS
~11 milyon
~25 milyon
~60 milyon
~120 milyon
Nasıl Test Edebilirim?
Bu test için aşağıdaki linkteki ürün kullanılabilir.
http://sourceforge.net/projects/syslog-slogger/
bu linkten Slogger-v0.6.zip dosyası indirilip açıldıktan sonra aşağıdaki gibi bir dosya yapısı ile
karşılaşılacaktır
Burada sadece run.bat dosyası kullanıcı tarafından oluşturulmalıdır. Bu dosyanın içeriği ise
“java -cp .bin;.3rdPartySyslog.jar org.slogger.Slogger” şeklindedir. Tabi sistemde java yüklü
olduğundan emin olun. Bunu için komut satırında aşağıdaki komut “java -version” çalıştırılır

3. Yazılım bir komut satırı açılarak “run.bat” çalıştıktan sonra aşağıdaki gibi bir sonuç üretir.
Burada EPS değerini 977 olarak görürsünüz. Bu parametreler ise slogger.properties dosyasından
ayarlanmaktadır. Örneğin 1000 EPS hız ile 200 000 log göndermek için aşağıdaki parametreleri
kullanabilirsiniz.
## slogger Properties file
## configure slogger options.

4. ## program options.
syslogProvider=org.slogger.provider.randomMessageProvider.RandomSyslogProvider
#syslogPublisher=org.slogger.publisher.FilePublisher
syslogPublisher=org.slogger.publisher.NetworkPublisher
## Control the rate at which messages are sent.
##Delay added between messages in millis. 0 means no delay.
## If maxEpsRate is specfied, this value is ignored.
#delayBetweenMessages=0
maxEpsRate=1000
promptForStart=FALSE
displayCounters=TRUE
displaySentMessages=TRUE
## FileTarget Options
FilePublisher.file=syslog.log
## Network publisher options
NetworkPublisher.host=localhost
NetworkPublisher.port=514
NetworkPublisher.sourceAddressEncapString=
NetworkPublisher.keepMessageCounters=FALSE
## RandomMessageProvider options.
## Global message options
## Message Count
rmp.messageCount=200000
rmp.useEmblem=true
rmp.sources=10.1.1.1,10.1.1.2,10.1.1.3
rmp.levels=3
rmp.facility=ASA
rmp.sourcePort=5555
rmp.targetHost=2.2.2.2
rmp.targetPort=targetPort
rmp.timeStamp=timeStamps
rmp.inputSyslogFile=input_syslogs.log
###Messages to be generated
rmp.message.1.multiplier=1
rmp.message.1.messageText=302013: Built <<inbound,outbound>> TCP connection <<1-100000>> for
inside:<<1.1.0.0,1.1.255.255>>/<<10000-50000>> (<<10.10.10.0,10.10.10.255>>/<<10000-50000>>) to outside:<<128.1.1.1200.1.1.2>>/<<1-1024>> (<<21.1.1.1,21.1.1.255>>/<<1-1024>>)
rmp.message.2.multiplier=1
rmp.message.2.messageText=302014: Teardown TCP connection <<1-100000>> for
<<inside,outside,dmz>>:<<1.1.0.0,1.1.255.255>>/<<10000-50000>> to <<inside,outside,dmz>>:<<128.1.1.1-200.1.1.2>>/<<1-1030>>
duration <<100,200,300>> bytes <<100,200,300>> Richa (Ric)
rmp.message.3.multiplier=1
rmp.message.3.messageText=302015: Built <<inbound,outbound>> UDP connection <<1-100000>> for
inside:<<1.1.0.0,1.1.255.255>>/<<10000-50000>> (<<10.10.10.0,10.10.10.255>>/<<10000-50000>>) to outside:<<128.1.1.1200.1.1.2>>/<<1-1024>> (<<21.1.1.1,21.1.1.255>>/<<1-1024>>)
rmp.message.4.multiplier=1
rmp.message.4.messageText=302016: Teardown UDP connection <<1-100000>> for
<<inside,outside,dmz>>:<<1.1.0.0,1.1.255.255>>/<<10000-50000>> to <<inside,outside,dmz>>:<<128.1.1.1-200.1.1.2>>/<<1-1030>>
duration <<100,200,300>> bytes <<100,200,300>>
rmp.message.5.multiplier=1
rmp.message.5.messageText=106100: access-list <<acl1,acl2,acl3>> permitted <<TCP,UDP>> outside/<<1.1.0.0,1.1.255.255>>(<<1000050000>>) -> inside/<<128.1.0.0,128.1.255.255>>(<<10000-50000>>) hit-cnt 10 Something [0x1001, 0x1000]
rmp.message.6.multiplier=1
rmp.message.6.messageText=106023: Deny tcp src outside:<<1.1.0.0,1.1.255.255>>/<<10000-50000>> dst inside:<<192.168.131.10192.168.135.10>>/<<5060-17000>> by access-group "TRANSIT" [0x298f38e5, 0x0]
rmp.message.7.messageText=302020: Built outbound ICMP connection for faddr <<10.20.14.141-10.20.255.255>>/<<0-7>> gaddr
<<192.168.5.21-192.168.6.255>>/512 laddr <<192.168.5.21-192.168.6.255>>/512
Yukarıdaki programı kullanarak
1. Belirli bir sayıdaki logu belirli sürede gönderebilmeyi sağlayabiliriz. Burada 200 000 log

5. 2. Toplam log sayısına değil de saniyede kaç adet gönderilebildiğini hesaba katmaktır. Bu da
mümkün yaklaşık 1000 EPS değeri (997) sağlanabilmektedir.
Ve tabi en önemlisi gönderilen toplam log sayısı ve süresi gözükmektedir.