@fran.b : je me permets de rajouter ici , tu pourras le fusionner si tu veux dans le message principal (et même corriger les fautes d’ortographe si tu veux).
[size=150]Logs de squid[/size]
dans /etc/squid/squid.conf, la paramètre log_fqdn permet que les logs soient nourris avec le fqdn (nom dns complet) au lieu de l’adresse IP des postes clients.cette fonction de résolution bouffe un peu de ressource, mais c’est bien pratique sur un réseau en DHCP quand les adresses sont réaffectées chaque jour. cela nécéssitte que le proxy ai accès au dns interne de l’entreprise, donc attention si votre proxy n’est configuré que avec les dns du FAI ça va marcher beaucoup moins bien.
pour la charge l’option est deconseillée sur les gros gros proxy car ça génere un dns lookup supplementaire à chaque ligne de log.
donc pour l’activer :
[size=150]Logs de squidguard[/size]
par defaut, squidGuard ne conserve pas de traces des accès bloqués.
voila comment activer cette fonction.
si vous avez activé dans /etc/squid/squid.conf la résolution des adresse IP en nom dns a l’aide de la directive log_fqdn, le fqdn sera aussi visible dans squidGuard.
insérer en début de fichier /etc/squid/squidGuard.conf le dossier dans lequel on va stocker les log
ici je garde le même dossier log que squid afin de bénéficier du même parametrage pour les logrotate.
puis dans chaque directive dest, on va spécifier un fichier de log.
on peut très bien mettre le même fichier pour plusieurs dest ou un fichier different à chaque fois, peu importe.
avec les exemple de l’auteur, ça donnerait
[code]
dest adult {
domainlist adult/domains
urllist adult/urls
log adult.log
}
dest publicite {
domainlist publicite/domains
urllist publicite/urls
log publicite.log
}
dest warez {
domainlist warez/domains
urllist warez/urls
log warez.log
}
dest porn {
domainlist porn/domains
urllist porn/urls
log porn.log
}[/code]
on aura ainsi 4 fichiers log, chacun retracera les tentatives d’accès qui ont été bloquée par squidguard, un fichier par catégorie.
l’avantage de specifier le fichier pour chaque dest, c’est que en cas d’analyse des logs par un outil, en spécifiant le fichier on restreint deja a un type de site bien préçis. et de plsu certains accès n’ont pas forcement besoin d’être enregistrés (pub …)
ensuite, il n’y a plus qu’a aller voir l’utilisateur en, question et le menacer de donner les logs au patron si il ne s’aquitte pas des frais de dossier en liquide. comment ça c’est interdit ? c’est qui ce cnil ? bon d’accord j’arrête.
DONC : attention, ce genre de fichier ne doit pas trainer sur les serveurs de fichier de votre entreprise. surtout si vous utilisez une authentification sur le proxy, le nom de l’utilisateur sera directement visible sur chaque ligne de log.
[size=150]analyse des logs de squid et squidguard[/size]
encore une fois attention avec les logs. ne les laissez pas trainer.
non content des outils comme sarg , je suis cette procedure :
-
tous les matins, logrotate archive le log du jour n-1 dans le fichier access.log.1 (ne sera compressé que le lendemain pour devenir access.log.2.gz)
-
je lis ce fichier ligne a ligne avec un script, découpe chaque ligne en tableau (separateur = espaces) et rentre toutes les cases du tableau dans une table mysql.
-
ce n’est pas bien compliqué, mais la table sql peut devenir très grosse à la longue.
-
le gros avantage, c’est que je peux ensuite faire les analyses que je veux sur l’utilisation du web, par tranche horaire, par jour de la semaine, avec des requêtes sql très très simples.
voila.