Graylog
Dado que dos personas ya le aconsejaron que reconsidere su proceso actual (lo cual secundo, ya que en algún momento le causará noches de insomnio;)), iré por otra ruta y recomendaré un software específico que, en mi opinión, se adapta a la mayoría de Sus necesidades: Graylog .
Implementé y utilicé un par de pilas ELK para la agregación de registros y la inteligencia empresarial y también ejecuté / mantuve Graylog durante aproximadamente dos años en mi empleador actual. Recomiendo Graylog ya que tiene las siguientes características integradas y es, en mi opinión, un poco más fácil de configurar y mantener:
- Una interfaz web
- Capacidades multiusuario
- Alertando
Hasta donde entiendo su escenario, parece que necesita actuar o recibir una alerta sobre ciertos eventos que aparecen en su flujo de mensajes de registro. Si nos fijamos en las características de Graylog :
Dispare acciones o reciba notificaciones cuando algo necesite atención, como intentos fallidos de inicio de sesión, excepciones o degradación del rendimiento.
Ideas: envíe un correo electrónico o un mensaje de Slack a su equipo. Genere una nueva máquina para equilibrar la carga de procesamiento. Bloquee los rangos de IP en sus firewalls automáticamente cuando se detecte un ataque.
Para probar Graylog, recomendaría los siguientes dos pasos:
- Configure un host dedicado al que puedan acceder todos los hosts de su aplicación para ejecutar graylog (y sus dependencias MongoDB y ElasticSearch)
- Enviar registros de su aplicación a graylog (posiblemente como mensajes GELF )
Nota: Estos dos pasos tienen la capacidad de llenar páginas y páginas de mejores prácticas y deben recibir al menos un par de pensamientos. Sin mencionar que Graylog no es una solución de monitoreo y Graylog en sí mismo debe ser monitoreado por una herramienta de monitoreo adecuada (como por ejemplo, Icinga, Prometheus, Nagios, por nombrar solo algunos).