لاگ سرور جزء ابزارهای بسیار مهم در زیرساخت‌های دیجیتال است که باعث می‌شود سازمان‌ها اطلاعات مربوط به فعالیت‌ها و رویدادهای سیستم‌های مختلف را به صورت متمرکز جمع آوری و ذخیره کنند. این گزارش‌ها یا لاگ‌ها، شامل جزئیاتی از خطاها، درخواست‌ها و عملیات‌های مختلف هستند که در سرورها یا سایر تجهیزات شبکه ثبت می‌شوند. استفاده از این اطلاعات به تحلیل عملکرد سیستم‌ها، رفع مشکلات و پیش بینی چالش‌های احتمالی آینده کمک می‌کند.
با پیچیده تر شدن فناوری‌های مرتبط با سرویس‌های ابری و مجازی سازی، مدیریت دقیق این گزارش‌ها اهمیت بیشتری پیدا کرده است. جمع آوری و دسته بندی اطلاعاتی که از سرورها، روترها، فایروال‌ها و سایر سیستم‌ها ارسال می‌شوند، می‌تواند به بهبود عملکرد کلی سازمان کمک کند. نگهداری و بررسی مداوم این گزارش‌ها، نیز باعث می‌شود الگوهای خطرناک شناسایی شوند و از مشکلات بزرگ تر جلوگیری شود.
لاگ سرور سیستمی است که پیام‌ها و گزارش‌های رویدادهای مختلف را از دستگاه‌ها، برنامه‌ها و سرویس‌های موجود در یک شبکه دریافت، ذخیره و تحلیل می‌کند. فرض کنید شرکت یا سازمانی مجموعه ای از سرورها، روترها، وب سرورها و حتی فایروالهای متعدد دارد؛ در این حالت، هر دستگاه ممکن است گزارش‌هایی از خطاها، اعلان‌ها، شرایط امنیتی و … تولید کند. وقتی همه‌ی این گزارش‌ها به طور پراکنده در هر دستگاه ذخیره شوند، مدیریت و یافتن مشکلات زمان بر خواهد بود .
اما وقتی از لاگ سرور استفاده می‌شود، تمامی این پیام‌ها به صورت متمرکز به یک سرور مرکزی ارسال می‌شوند و به شکل منظم ذخیره می‌گردند. این تمرکز، کار تحلیل، بازیابی و جستجو را آسان می‌کند. از جنبه امنیتی هم مزیت بزرگی است، زیرا کوچک ترین نشانه‌های نفوذ و حمله‌های احتمالی در میان انبوه گزارش‌ها ثبت شده و می‌توان الگوهای خطرناک را زودتر تشخیص داد.
لاگ‌های سرور را می‌توان از دیدگاه‌های مختلفی دسته بندی کرد؛ یکی از رایج ترین رویکردها، تقسیم بندی مبتنی بر نوع سرویس یا سیستم عاملی است که لاگ را تولید می‌کند و شامل:
این لاگ شامل اطلاعاتی درباره‌ی اتفاقات مهم سیستم عامل، خطاهای مربوط به هسته (Kernel)، روشن و خاموش شدن سرویس‌ها و موارد مشابه است. این اطلاعات به عنوان اولین منبع برای شناسایی مشکلات جدی سخت افزاری یا ناسازگاری درایورها استفاده می‌شود و می‌تواند در رفع ایرادات سیستم بسیار موثر باشد.
برای ثبت تراکنش‌های امنیتی مانند ورود و خروج کاربران، تغییرات در سیاست‌های امنیتی و سایر فعالیت‌های حفاظتی از این لاگ استفاده می‌شود و مدیران بازرسی امنیتی می‌توانند از طریق این گزارش‌ها هرگونه تلاش نفوذ یا ورود غیرمجاز را شناسایی کنند.
هر سرویس یا نرم افزار، اتفاقات داخلی خود را در قالب لاگ ثبت می‌کند. این اطلاعات شامل جزئیاتی درباره خطاها، مدت زمان پاسخ دهی و عملکرد قسمت‌های مختلف نرم افزار است. بررسی این اطلاعات برای پیدا کردن مشکلات نرم افزاری یا دلایل کاهش سرعت سرویس‌ها بسیار کاربردی است و می‌تواند به بهبود عملکرد نرم افزارها منجر شود.
تمام رویدادهای مربوط به ارتباطات شبکه، درخواست‌های TCP/IP، روترها، سوئیچ‌ها و فایروال‌ها را این لاگ پوشش می‌دهد و تشخیص الگوهای ترافیکی غیرعادی و حملات DDoS احتمالی با نگاهی دقیق به این بخش‌ها برای آن مقدور است.
وب سرورهایی مانند Apache،Nginx یا IIS اطلاعاتی درباره درخواست‌های کاربران، آدرس‌های IP، نحوه پاسخ دهی و خطاهای HTTP ثبت می‌کنند. بررسی این موارد می‌تواند اطلاعات مفیدی درباره تعداد بازدید صفحات، موقعیت جغرافیایی کاربران، رشد ترافیک و خطاهای رایج به شما ارائه دهد. این تحلیل‌ها به بهبود عملکرد سایت و رفع مشکلات احتمالی کمک می‌کنند.
برای راه اندازی یک لاگ سرور اصولی و کارآمد باید چند مرحله‌ی اساسی طی شود:
برای نصب و استفاده از لاگ سرورها، ابزارهای مختلفی وجود دارد که هرکدام ویژگی‌های خاص خود را دارند. برخی از این ابزارها شامل ELK Stackکه از Elasticsearch، Logstash و Kibana تشکیل شده،Graylog و Syslog-ng هستند. همچنین، گزینه‌های دیگری مانند Splunk و ManageEngine نیز در دسترس هستند. هر یک از این ابزارها قابلیت‌های متفاوتی برای تحلیل و مدیریت اطلاعات ا ارائه می‌کنند. پیش از انتخاب، بهتر است حجم اطلاعات ثبت شده و نوع گزارش‌هایی که برای شما اهمیت دارند را بررسی کنید تا بتوانید بهترین گزینه را انتخاب کنید.
بعد از انتخاب نرم افزار مورد نظر، لازم است طبق دستورالعمل موجود، فرایند نصب را انجام دهید. سپس تنظیمات مورد نیاز برای جمع آوری اطلاعات از منابع گوناگون مانند سرورهای ویندوزی و لینوکسی، سرویس دهنده‌های وب، روترها و حتی برنامه‌های کاربردی اختصاصی را اعمال کنید. در صورتی که از پروتکل syslog استفاده می‌کنید، باید پورت‌هایی مانند UDP 514 یا TCP 601 را فعال کرده و اقدامات لازم را برای ایمن سازی آن‌ها انجام دهید.
هر دستگاه یا سرویس باید بداند گزارش‌هایش را چگونه و به کدام مقصد بفرستد. مثلا در لینوکس از فایل تنظیمات rsyslog.conf استفاده می‌شود یا در وب سرورهای Apache/Nginx باید مسیر و فرمت لاگ را مشخص کرد که به سمت لاگ سرور روانه شوند.
مشخص کنید که چه سطحی از اطلاعات مانند Debug، Info، Warning یا Error باید ثبت شوند تا از انباشت اطلاعات غیرضروری جلوگیری شود. برخی از رویدادهای کم اهمیت بیشتر برای هشدارهای روزانه کاربرد دارند، در حالی که برخی دیگر تنها در زمان وقوع مشکلات جدی مورد استفاده قرار می‌گیرند.
لاگ‌ها در طول زمان زیاد می‌شوند؛ حتما باید مکانیزم چرخش لاگ (Log Rotation) و حذف اطلاعات قدیمی را برای جلوگیری از پُر شدن حافظه در نظر بگیرید. برخی سازمان‌ها بابت مسائل قانونی یا تحلیل بلند مدت، ناگزیرند لاگ‌ها را برای مدت بیشتری بایگانی کنند.
اکنون که لاگ‌ها به صورت متمرکز جمع آوری شده اند، بهتر است برای یافتن سریع مشکلات یا حملات امنیتی، یک سیستم اخطاردهی پیکربندی نمایید و گزارش‌های دوره ای بگیرید. مثلا اعلام ایمیلی خطاهای بحرانی.
در سیستم عامل‌ها و سرویس‌های مختلف، محل ذخیره اطلاعات ثبت شده توسط سرور ممکن است متفاوت باشد. در محیط‌های لینوکسی، مسیر پیش فرض برای ذخیره این داده‌ها معمولا `/var/log/` است و نرم افزارهایی مانند Apache و Nginx اطلاعات خود را در مسیرهایی نظیر `/var/log/apache2/` و `/var/log/nginx/` نگهداری می‌کنند. همچنین در سیستم عامل ویندوز، این اطلاعات از طریق ابزار Event Viewer قابل بررسی هستند، که شامل دسته بندی‌هایی مانند سیستم، امنیت و برنامه‌ها می‌شود.
اگر از ابزارهایی برای مدیریت و تحلیل اطلاعات ثبت شده مثل ELK یا Graylog استفاده می‌کنید، می‌توانید به بخش‌هایی مانند «شاخص‌ها» یا «Streamها» سر بزنید. در این قسمت‌ها، امکان جستجو و فیلتر اطلاعات فراهم شده است تا گزارش‌های دقیق و هدفمند تولید شوند.
در تجهیزات شبکه ای مانند روترها یا فایروالهای Cisco، معمولا بخشی به نام Logging Configuration وجود دارد که در آن می‌توان آدرس سروری که اطلاعات ثبت شده به آن ارسال می‌شود را تعریف کرد. بر اساس تنظیمات انجام شده، دستگاه اطلاعات خود را به فایل مشخصی روی سرور ارسال می‌کند تا در دسترس باشد.
کاربردهای مختلفی برای این لاگ‌ها وجود دارد که برخی از آن‌ها شامل:
– عیب یابی و رفع خطا: وقتی سرویس یا نرم افزاری دچار مشکل می‌شود، اولین قدم سر زدن به لاگ‌هاست. از متن خطا گرفته تا ارورکدهای HTTP و حتی ردگیری تراکنش دیتابیس همگی در رفع سریع مشکل مفید خواهند بود.
– تحلیل امنیتی و کشف نفوذ: اطلاعات لاگ سرور می‌تواند انواع ورودهای مشکوک، حملات تکرار رمز عبور (Brute Force)، درخواست‌های غیرمجاز و الگوهای ترافیکی مشکوک را آشکار کند. برای متخصصان امنیت، یک لاگ منبع طلایی محسوب می‌گردد.
– مدیریت کارایی و بهینه سازی: بررسی این که کدام صفحات سایت اغلب منجر به خطا می‌شوند یا در چه ساعاتی ترافیک بالایی شکل می‌گیرد، می‌تواند راهنمایی برای بهبود عملکرد سرور باشد. ضمن این که در تحلیل منابع سخت افزاری CPU، رم، دیسک نیز نقش دارد.
– رسیدن به بینش عمیق درباره کاربران و درخواست‌ها: مثلا در فروشگاه‌های آنلاین، لاگ وب سرور یا اپلیکیشن می‌تواند اطلاعات ارزشمندی از روند عادات خرید کاربران، نرخ تکمیل تراکنش‌ها، خطاهای پرداخت و … ارائه کند.
– ممیزی و رعایت قوانین : برخی صنایع و حوزه‌ها طبق قوانین و استانداردهایی مانند PCI DSS در حوزه مالی باید رویدادهای خاصی را ثبت و نگهداری کنند. داشتن لاگ سرور متمرکز در این مواقع ضروری خواهد بود.
سرورهای مجازی یا VPS کاربردهای مختلفی دارند، در چنین محیط‌هایی، بررسی منظم گزارش‌های سیستم (لاگ‌ها) اهمیت زیادی دارد. این کار می‌تواند به شما کمک کند مشکلات را قبل از اینکه باعث خرابی سرور شوند، شناسایی کنید.
– گزارش‌های سیستم عامل: نسبت به نوع سیستم عامل سرور، گزارش‌ها در مکان‌های مشخص ذخیره می‌شوند. به عنوان مثال، در سیستم‌های لینوکسی، فایل‌های سیستمی مهم در پوشه‌هایی مثل `/var/log/syslog` قرار دارند.
– گزارش‌های سرویس‌های وب و پایگاه اطلاعات: اگر سرور برای اجرای برنامه‌هایی مثل وب سرور Apache یا پایگاه اطلاعاتMySQL استفاده می‌شود، گزارش‌های مربوط به این سرویس‌ها نیز باید به طور مرتب بررسی شوند.
– مدیریت فایل‌های گزارش: از آنجایی که منابع سرور مجازی محدود هستند، باید حجم فایل‌های گزارش را کنترل کنید.
– امنیت سرور: با تنظیم درست فایروال و انتقال اطلاعات مربوط به درخواست‌ها به یک سرور مرکزی، می‌توانید فعالیت‌های غیرعادی را روی سرور شناسایی کنید و امنیت را افزایش دهید.
اکوسیستم لاگینگ به مجموعه ای از ابزارها و فرایندهایی گفته می‌شود که برای تولید، جمع آوری، پردازش و تحلیل اطلاعات ثبت شده توسط سیستم‌ها و برنامه‌ها استفاده می‌شوند. این چرخه شامل چند مرحله است:
ابتدا هر سیستم یا برنامه، اطلاعاتی را به صورت خودکار ثبت می‌کند که به آن لاگ گفته می‌شود. سپس این اطلاعات از طریق پروتکل‌هایی مانند Syslog یا ابزارهایی مثل Logstash Forwarder به یک سرور مرکزی منتقل می‌شوند. در مرحله بعد، ابزارهایی مانند Logstash یا Fluentd این اطلاعات را پردازش کرده و اطلاعات مهم را از آن استخراج می‌کنند که در پایگاه‌هایی مثل Elasticsearch ذخیره می‌شوند تا جستجو و دسترسی به آن‌ها ساده تر شود.
سپس، ابزارهایی مانند Kibana یا Grafana این اطلاعات را به صورت نمودارها و گزارش‌های تصویری نمایش می‌دهند تا مدیران بتوانند وضعیت سیستم را بهتر درک کنند. در نهایت، اگر مشکلی در اطلاعات شناسایی شود یا خطاهای خاصی تکرار شوند، سیستم به صورت خودکار هشدار ارسال می‌کند تا اقدامات لازم انجام شود.
شبکه توزیع محتوا (CDN) در واقع بخش‌هایی از سرورهاست که اطلاعات سایت یا برنامه‌های تحت وب را در مکان‌های جغرافیایی مختلف ذخیره می‌کند. این کار باعث می‌شود که کاربران سریع تر بتوانند به محتوا دسترسی پیدا کنند، زیرا اطلاعات از نزدیک ترین سرور به آن‌ها ارسال می‌شود. اما اطلاعات ثبت شده توسط CDN چه کاربردهایی دارند؟
در ابتدا، این اطلاعات نشان می‌دهند که کاربران از کدام مناطق جغرافیایی درخواست ارسال کرده اند، تعداد این درخواست‌ها چقدر بوده و چه زمانی بیشتر فعال بوده اند. همچنین می‌توان فهمید که کدام فایل‌ها بیشترین استفاده را داشته اند یا کدام منابع دچار خطا شده اند. برای مثال، اگر یک تصویر یا فایل تعداد زیادی درخواست دریافت کرده باشد، می‌توانید تنظیمات ذخیره سازی خود را بهتر کنید. یا اگر خطاهایی مانند 404 یا 503 زیاد باشند، می‌توان سریع تر مشکل فایل‌ها یا منابع را شناسایی کرد.
علاوه بر این، CDNها قابلیت‌هایی برای جلوگیری از حملات سایبری مانند DDoS دارند و اطلاعاتی را ارائه می‌دهند که نشان می‌دهد آیا درخواست‌های مشکوکی ارسال شده یا ترافیک غیرعادی در یک بازه زمانی خاص رخ داده است. این موارد به حفظ پایداری و امنیت سیستم کمک می‌کند.
انتخاب یک لاگ سرور مناسب همواره به نیاز، بودجه و تخصص تیم وابسته است. با این‌حال، چند نمونه از راهکارهای مهم بازار عبارت اند از:
Elasticsearch-: برای ذخیره سازی و جست و جوی اطلاعات.
Logstash-: برای پردازش و انتقال اطلاعات.
Kibana-: برای نمایش اطلاعات به صورت بصری.
این مجموعه انعطاف پذیری بالایی دارد و برای پروژه‌های بزرگ بسیار کاربردی است.
درصورتی که زیرساخت بسیار بزرگی دارید و گزارش‌های حجیمی را باید آنالیز کنید،Splunk یا ELK Stack توصیه می‌شود. اما برای سازمان‌های کوچک تر که ترافیک کمتری دارند،Graylog یا حتی Syslog-ng نیز بسیار کاراست.
در ویندوز، مرکز همه‌ی لاگ‌ها Event Viewer است. با اجرای دستور “eventvwr” در پنجره‌ی Run یا رفتن به منوی Start و جستجوی “Event Viewer”، می‌توان به مجموعه زیر دسترسی پیدا کرد:
برای سازمان‌هایی با تعداد زیادی سرور ویندوز، استفاده از یک Share مرکزی برای ذخیره و تحلیل یا ارسال همه‌ی این Eventها به سرویس‌های متمرکز مانند Splunk، انتخاب مناسبی است.
در سیستم عامل لینوکس، بیشتر گزارش‌ها در پوشه ای به نام `/var/log/` ذخیره می‌شوند. با توجه به نوع توزیع لینوکسی که استفاده می‌کنید، نام فایل‌های این گزارش‌ها ممکن است کمی متفاوت باشد. برخی از مهم ترین فایل‌های گزارش شامل موارد زیر هستند:
Syslog یا messages : این فایل برای ثبت رویدادهای عمومی سیستم استفاده می‌شود.
auth.log یا secure : اطلاعات مربوط به ورودهای موفق یا ناموفق و فرایندهای احراز هویت در این فایل ذخیره می‌شوند.
Dmesg : پیام‌هایی که از کرنل سیستم ارسال می‌شوند، به ویژه اطلاعات مربوط به شناسایی سخت افزارها، در این فایل قرار دارند.
boot.log : این فایل شامل اطلاعات مربوط به فرایند راه اندازی سیستم عامل است.
apache2/access.log : اگر از وب سرور آپاچی استفاده می‌کنید، این فایل دسترسی کاربران به سرور را ثبت می‌کند.
apache2/error.log : خطاهایی که در وب سرور آپاچی رخ می‌دهند، در این فایل ذخیره می‌شوند.
در سرورهای برند HPE (Hewlett Packard Enterprise)، علاوه بر لاگ‌های متداول سیستم عامل، امکانات خاصی برای مانیتورینگ سخت افزار عرضه می‌شود. ماژول HPE iLO (Integrated Lights-Out) گزارش‌هایی از دمای CPU، سرعت چرخش فن، قطعی احتمالی منبع تغذیه و خطاهای حافظه‌ی سرور را ثبت می‌کند. این اطلاعات وقتی ارزشمند می‌شوند که سرور شما به صورت شبانه روزی کار می‌کند و شما قصد دارید حتی در صورت خاموش شدن سیستم عامل هم گزارش سخت افزاری را داشته باشید.
شرکت «دکتر اچ پی» در حوزه‌ی خرید و فروش و تامین تجهیزات سرورهای HP فعالیت می‌کند. با استفاده از سرورهای استوک یا آکبند اچ پی و راه اندازی سیستم لاگ سرور استاندارد، می‌توانید عمر سخت افزار و امنیت سیستم‌های سازمانتان را تضمین کنید.
اگر قصد خرید سرورهای دست دوم یا آکبند HP را دارید، مجموعه «دکتر اچ پی» گزینه ای معتبر و با سابقه در این زمینه است. این شرکت محصولات خود را با گارانتی معتبر و انجام تست‌های فنی به شما ارائه می‌دهد. کارشناسان دکتر اچ پی قبل از خرید می‌توانند مشاوره‌ی دقیقی درباره نیاز سخت افزاری و نرم افزاری به شما دهند. با تهیه سرورهای کارآمد از این مجموعه، هم در هزینه صرفه جویی می‌کنید و هم پشتیبانی مطلوبی خواهید داشت.
لاگ سرور، سیستم مرکزی برای جمع آوری و ذخیره گزارش‌های مربوط به فعالیت سرورها، نرم افزارها و تجهیزات شبکه است. این سیستم به مدیران کمک می‌کند تا مشکلات را سریع تر پیدا کنند، تهدیدهای امنیتی را شناسایی کنند و روی زیرساخت‌های خود نظارت بیشتری داشته باشند. همچنین، آن‌ها اطلاعات را در قالب داشبوردهای گرافیکی نمایش می‌دهند که کار مدیران شبکه و زیرساخت را ساده تر می‌کند.
علاوه بر این، یک سیستم لاگ مفید می‌تواند گزارش‌ها را بر اساس اهمیت دسته بندی کند تا فقط اطلاعات مهم ثبت شوند و از جمع شدن اطلاعات غیرضروری جلوگیری شود. با توجه به گسترش کسب و کارهای دیجیتال، ثبت گزارش‌ها و پایش منظم فعالیت‌ها اهمیت زیادی پیدا کرده است. به خصوص در سرورهای مجازی یا سرورهای پیشرفته ای مثل HPE، استفاده از لاگ سرور باعث می‌شود اطلاعات مربوط به وضعیت و خطاهای سیستم همیشه در دسترس باشد.
1) آیا فعال کردن لاگ سرور بر عملکرد سیستم تاثیر منفی می‌گذارد؟
خیر، معمولا تاثیر منفی شدیدی بر عملکرد ندارد؛ ولی اگر میزان تولید لاگ بسیار زیاد باشد، باید منابع کافی (پردازنده و حافظه مورد نیاز) اختصاص دهید و مکانیزم چرخش لاگ (Log Rotation) را برای جلوگیری از پُر شدن دیسک فعال کنید.
2) آیا می‌توانم فقط خطاها را در لاگ سرور ثبت کنم و سایر سطح‌های گزارش حذف شوند؟
بله، پیکربندی سرویس لاگ به شما این امکان را می‌دهد تا تعیین کنید که کدام سطح Debug، Info، Warning،Error و… ثبت شوند. بسیاری از شرکت‌ها برای کاهش حجم، تنها Error و Warning را ذخیره می‌کنند؛ اما توجه کنید گاهی لاگ‌های Info وDebug می‌توانند در عیب یابی بسیار مهم باشند.
3) در صورت قطعی ارتباط بین سرور کلاینت و لاگ سرور، چه اتفاقی برای گزارش‌ها می‌افتد؟
بسیاری از ابزارهای مدیریت گزارش، از سیستم صف یا بافر داخلی استفاده می‌کنند. این ویژگی باعث می‌شود که اگر ارتباط قطع شود، اطلاعات به طور موقت ذخیره شوند و پس از وصل شدن دوباره، ارسال شوند. البته لازم است در فایل تنظیمات، مانند rsyslog.conf، مشخص کنید که در زمان غیرفعال شدن سرور اصلی چه اتفاقی بیفتد تا اطلاعات از بین نروند و تمامی گزارش‌ها به درستی ثبت شوند.
