Onderwerp: Langere opslagtijd httpd logs

De logfiles voor de userdomeinen staan in:
/home/<username>/domains/<domain>/logs/

Nadeel is dat de gebruiker of een evt. hacker die ftp of op andere wijze toegang heeft gekregen tot het account de logs zelf kan wissen.
Het schijnt dat de logrotate van DA van toepassing is op deze logs.

Maar er zijn ook nog andere logs namelijk in:
/var/log/httpd/domains/domain*.log

Die worden elke dag automatisch truncated, dus 0 bytes gemaakt.
Is er geen truukje om te zorgen dat net die logs wat langer bewaard blijven en evt. met gzip bijv. 3 dagen ofzo?
Als er dan wat gebeurt kun je tenminste nog iets terugvinden. Want je ziet daar wel eens dingen in die je in andere httpd logs niet tegen komt.

Volgens mensen op het DA forum is dat middels DA zelf niet mogelijk dus zou er iets anders op bedacht moeten worden.

weet je hoelaat exact die trunc gebeurd? idee om net 10 min daarvoor een cron te starten die met gzip een backup maakt? als je met ssh bij je server kan is het zo geregeld

Of via het systeem backup een backup cron instellen voor de log mappen?
Maar heb je niks aan de functie logs_to_keep dan in de directadmin.conf?

logs_to_keep=5
Number of apache logs to store for Users in /home/user/domains/domain.com

maar dan heb je natuurlijk niet dat je ze veilig stelt bedoel je

@oehTie: Geen idee, zal vermoedelijk in een van de DA crons zitten.
Ik kan wel de logrotate uitschakelen, maar weet niet of dat geen nadelig effect op webalizer gaat hebben.

@ICHosting: Klopt, dat schreef ik boven al. Die setting heb ik al maar de user of evt. een hacker die het account gehacked heeft kan ze daar wissen.
Vandaar dat ik net graag die logs in de /var/log/httpd/domains wat langer zou bewaren.
Daar kan een user en ook een gehacked useraccount er normaliter niet bij.

Ik kan wel de logrotate van DA uitschakelen. Maar dan komt er misschien geneuzel met webalizer.

Oorspronkelijk geplaatst door Blacky

@oehTie: Geen idee, zal vermoedelijk in een van de DA crons zitten.
Ik kan wel de logrotate uitschakelen, maar weet niet of dat geen nadelig effect op webalizer gaat hebben.

@ICHosting: Klopt, dat schreef ik boven al. Die setting heb ik al maar de user of evt. een hacker die het account gehacked heeft kan ze daar wissen.
Vandaar dat ik net graag die logs in de /var/log/httpd/domains wat langer zou bewaren.
Daar kan een user en ook een gehacked useraccount er normaliter niet bij.

Ik kan wel de logrotate van DA uitschakelen. Maar dan komt er misschien geneuzel met webalizer.

Klopt, dat is niet raadzaam. Dan zou ik doen wat Theo aangaf of via de directadmin systeembackup die mappen backuppen, lokaal of extern. Vrij simpel te doen. En anders via een rsync backup oid met een history van 5 dagen bijvoorbeeld.

Ja dat lijkt me dan inderdaad een betere optie. Ik denk dat ik er maar een soort scriptje voor ga schrijven en dat in een crontab gooien. Bedankt voor de antwoorden allemaal.

Gebruiken jullie trouwens nog webalizer of zijn jullie ook overgestapt naar awstats of iets anders?

Oorspronkelijk geplaatst door Blacky

Gebruiken jullie trouwens nog webalizer of zijn jullie ook overgestapt naar awstats of iets anders?

De ene servers nog webalizer andere awstats hangt er beetje vanaf wanneer die ooit geinstalleerd zijn.

Volgens mij doet DA nog altijd standaard van webalizer gebruik maken. Is AWstats beter of stabieler of maakt het niet uit?

Langere opslagtijd is niet meer nodig, lijkt goed genoeg te gaan.
Maar om een of andere reden staan op alle servers de rechten van de logs directory onder de home directory's op user:user in plaats van op root:root.

Dus nu moet ik alleen nog even de logs directory weer op root:root zetten aldaar op alle servers en dan is het originele probleem automatisch gefixed.

Het staat juist op user:user omdat de klanten ook zijn log files zouden kunnen inkijken, de root user kan overal in ongeacht hoe de chown, chmod staat (met enkele uitzonderingen uiteraard)

Nja daar verschillende opvattingen over schijnt het. Dat maakt het verwarrend.

Ik hoor van diverse kanten dat het verschillend staat. Bij de ene staat het standaard op root:root, bij de ander user:user en niemand die een idee heeft van hoe die rechten er komen.
Volgens een ontwikkelaar op DA zou het root:root moeten horen te staan. Zo staat het bij mijn weten ook bij een standaard DA installatie normaliter.

De klanten kunnen toch altijd de logfiles inzien omdat de logfiles zelf world readable zijn dus dat mag geen probleem heten.
Dat lijkt me ook correct aangezien het mijns inziens niet de bedoeling kan zijn dat de klanten de logfiles wissen die jij als admin hebt ingesteld op een bepaalde rotatie, toch?

Oorspronkelijk geplaatst door Blacky

De klanten kunnen toch altijd de logfiles inzien omdat de logfiles zelf world readable zijn dus dat mag geen probleem heten.
Dat lijkt me ook correct aangezien het mijns inziens niet de bedoeling kan zijn dat de klanten de logfiles wissen die jij als admin hebt ingesteld op een bepaalde rotatie, toch?

Nja worldreadable voor iedereen is sterk af te raden, vooral omdat een klant dan logfiles van een andere klant kan lezen (en zelf system logs als je die ook zo instelt). En het wissen, aanpassen etc kan je voorkomen door de chmod op enkel lezen te zetten maar dan voor je klant. Zo bekom je dus dat enkel je klant zijn eigen logfiles kan lezen en dat de root alles kan lezen want daarom is hij root.

Beste reden waarom het niet worldreable te zetten is bvb cleantext paswoorden van login pagina's, api, etc in apache logs. Stel ik ben klant bij jou en kan al je klanten hun logfiles lezen dan is een cat <file> | grep "login" of | grep "pwd" etc wel heel makkelijk.

Nja worldreadable voor iedereen is sterk af te raden, vooral omdat een klant dan logfiles van een andere klant kan lezen

Dan moeten ze natuurlijk wel eerst in die directory kunnen komen, en dat kan gezien de andere instellingen niet (getest), permission denied.
Overigens is die world readable standaard directadmin, die schrijft ze zo daar neer. Ze zijn trouwens in tar.gz formaat, niet plain logs.
Ik heb er ook nog geen plaintext passwords of logins in gezien eerlijk gezegd, zou ook niet fraai zijn als die er in zouden staan.

Oorspronkelijk geplaatst door Blacky

Dan moeten ze natuurlijk wel eerst in die directory kunnen komen, en dat kan gezien de andere instellingen niet (getest), permission denied.
Overigens is die world readable standaard directadmin, die schrijft ze zo daar neer. Ze zijn trouwens in tar.gz formaat, niet plain logs.
Ik heb er ook nog geen plaintext passwords of logins in gezien eerlijk gezegd, zou ook niet fraai zijn als die er in zouden staan.

In apache logs zie je gewoon alle request dus als daar ergens staat http://www.<domain>.tld/api/xml-api.php?md5=5465465456456 of user=fdsfds&pwd=45644 zie je dat wel terug in de log files. Ik heb net even een test gedaan op een klant zijn nieuwe DA die ik standaard geinstalleerd heb zojuist en daar kan ik vanuit klanten login wel degelijk een andere klant zijn apache log lezen (/var/log/httpd/domains/<domain>.<tld>.log).

Oh we praten een beetje langs elkaar heen zo te zien.

Ik had het over de /home/user/domains/domein/logs directory. Daar kan een andere user niet in kijken in onze systemen. Daarvoor is wel de beveiliging wat aangepast.

Het lukt inderdaad wel in de logs die jij aangeeft. Da's niet zo fijn.