Sophos Linux Sensor の正常性の管理

概要

すべての Sophos Linux Sensor (SLS) コンポーネントは、監視ポート上の /healthz (別名: healthz) HTTP エンドポイントを介して正常性状態を報告します。healthz エンドポイントが、値が 200 の HTTP の状態コードを返す場合、または status の値が "ok" である JSON オブジェクトで構成される HTTP 本文を返す場合、アプリケーションは正常です。200 以外の HTTP 状態コードを返す場合は、正常ではありません。正常な応答の例を次に示します。

HTTP/1.0 200 OK
Content-Type: application/json
Date: Mon, 04 Jun 2018 13:45:02 GMT
Content-Length: 15

{"status":"ok"}

正常でない状態のアプリケーションでは、再設定、リソースの追加、または再起動が必要になります。正常でない SLS コンポーネントは、再起動するようにしてください。正常性チェックは、consul などのサービス検出システムを使用して自動化することができます。

例

この例では、curl コマンドを使用して /healthz HTTP エンドポイントに直接接続して、監視をテストする方法を示します。

curl を使用して、サーバーのデフォルトの監視ポートを介して、ローカルマシン上のセンサーの正常性をテストします。

[root@localhost ~]# curl -vvvs http://localhost:9010/healthz
*   Trying 127.0.0.1...
*   TCP_NODELAY set
*   Connected to localhost (127.0.0.1) port 9010 (#0)
> GET /healthz HTTP/1.1
> Host: localhost:9010
> User-Agent: curl/7.54.0
> Accept: */*
>
< HTTP/1.1 200 OK
< Content-Type: application/json
< Date: Wed, 14 Nov 2018 13:25:00 GMT
< Content-Length: 18
<
{"status": "ok"}
*   Connection #0 to host localhost left intact

SLS の正常性チェック

SLS の正常性チェックでは、テレメトリの受信、分析の処理、および制御メッセージの受信が報告されます。SLS がテレメトリを受信できない場合、またはネットワークパーティションやその他の原因により制御メッセージが停止した場合、正常性チェックでは正常でないことが報告されます。

デフォルトで SLS 監視ポートは 9010 ですが、/etc/sophos/runtimedetections-rules.yaml で monitor_port を設定してこれを変更できます。

また、/metrics エンドポイントを介して、Prometheus/OpenMetrics 形式で内部サービスメトリックをクエリすることもできます。

SLS メトリック

はじめに

SLS は、HTTP エンドポイントを介して、Prometheus または OpenMetrics 形式で運用メトリックをパブリッシュします。

デフォルトでエンドポイントは http://localhost:9010/metrics にありますが、ポートは、/etc/sophos/runtimedetections-rules.yaml で monitor_port を設定するか、RUNTIMEDETECTIONS_MONITOR_PORT 環境変数を介して再設定できます。

プッシュゲートウェイへの対応

メトリックをプッシュゲートウェイに任意で転送できます。これを行うには、次のように設定します。

prometheus_push_gateway: <pushgateway address:port>
prometheus_push_interval: <interval you want to push metrics at>
prometheus_push_group_name: <any push group name>
prometheus_push_group_value: <any push group value>

使用可能なメトリック

一般的に便利なメトリックは太字で示されています。

分析

Go

プロセス

Prometheus

Sensor