Cách cài đặt Fleet Osquery Manager trên Rocky Linux 9

[theanh]

Fleet là trình quản lý osquery nguồn mở có thể được sử dụng để duy trì các máy trạm và máy chủ an toàn và lưu trữ chính xác tất cả các thiết bị của bạn. Fleet cho phép lập trình các truy vấn trực tiếp, nhật ký phát trực tuyến và khả năng hiển thị thời gian thực của máy chủ, vùng chứa và thiết bị như máy tính xách tay và máy tính cục bộ.

Với fleet, bạn có thể xác định các lỗ hổng trên thiết bị của mình. Điều này có nghĩa là fleet sẽ tự động xác định phần mềm, ứng dụng và gói đã lỗi thời, dễ bị tấn công hoặc bị xâm phạm. Ngoài ra, fleet sẽ xác định các cấu hình sai của thiết bị và các sự cố đăng ký MDM. Fleet có thể hữu ích cho các ngành công nghiệp CNTT, bảo mật hoặc bất kỳ thiết bị giám sát tuân thủ nào.

Fleet cũng cho phép và tự động hóa các quy trình công việc bảo mật trong một ứng dụng duy nhất. Bạn có thể thu thập các sự kiện bằng osquery/agent từ nhiều máy chủ và thiết bị. Sau đó, lưu trữ dữ liệu đã thu thập ở một nơi duy nhất có thể truy cập thông qua bảng điều khiển Fleet hoặc sử dụng thiết bị đầu cuối qua fleetctl.

Trong hướng dẫn này, bạn sẽ triển khai Fleet Osquery Manager lên máy chủ Ubuntu 22.04. Hướng dẫn này bao gồm hướng dẫn cài đặt máy chủ MySQL, máy chủ Redis và triển khai máy chủ cơ sở dữ liệu MySQL một cách an toàn. Cuối cùng, bạn sẽ có Fleet Osquery Manager bảo mật cho phép bạn giám sát máy chủ, xác định lỗ hổng trên máy chủ, xác minh các thay đổi được thực hiện với các hệ thống khác và cũng thiết lập các truy vấn tùy chỉnh để giám sát máy chủ của bạn.

Điều kiện tiên quyết​

Để hoàn thành hướng dẫn này, bạn phải có các yêu cầu sau:

• Máy chủ Linux chạy Rocky Linux 9.
• Người dùng không phải root có quyền quản trị viên sudo/root.
• SELinux chạy ở chế độ cho phép.
• Tên miền trỏ đến địa chỉ IP của máy chủ.
• Chứng chỉ SSL/TLS đã tạo và xác minh.

Khi tất cả các yêu cầu đã sẵn sàng, bạn đã sẵn sàng để bắt đầu cài đặt Fleet Osquery Manager.

Cài đặt MySQL Server​

Trong phần này, bạn sẽ cài đặt máy chủ MySQL, khởi động và kích hoạt dịch vụ MySQL, thiết lập mật khẩu gốc MySQL và cũng cấu hình triển khai an toàn máy chủ MySQL thông qua 'mysql_secure_installation'.

Đối với hướng dẫn này, máy chủ MySQL sẽ được sử dụng để lưu trữ dữ liệu và thông tin của Fleet manager. Bạn sẽ cài đặt máy chủ MySQL từ kho lưu trữ Rocky Linux chính thức. Cài đặt bằng cách chạy lệnh dnf sau.

sudo dnf install mysql-server

Nhập y khi được nhắc xác nhận và nhấn ENTER để tiếp tục.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22353%22%3E%3C/svg%3E


Bây giờ bạn đã cài đặt máy chủ MySQL, máy chủ này sẽ được sử dụng làm cơ sở dữ liệu phụ trợ cho fleet. Trước khi cấu hình máy chủ MySQL, hãy khởi động và kích hoạt dịch vụ MySQL bằng tiện ích lệnh systemctl sau.

sudo systemctl start mysqld
sudo systemctl enable mysqld

Sau đó, hãy xác minh máy chủ MySQL để đảm bảo rằng dịch vụ đang chạy.

sudo systemctl status mysqld

Bạn sẽ nhận được đầu ra tương tự như sau - Đầu ra 'active (running)' xác nhận rằng máy chủ MySQL đang chạy. Và đầu ra '...; enabled; ...' xác nhận rằng máy chủ MySQL sẽ tự động khởi động khi hệ thống khởi động.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22220%22%3E%3C/svg%3E


Khi máy chủ MySQL đang chạy, bạn có thể thiết lập mật khẩu gốc của máy chủ MySQL. Đăng nhập vào MySQL shell bằng lệnh 'mysql' bên dưới.

sudo mysql

Chạy truy vấn sau để thiết lập mật khẩu cho người dùng root MySQL, sau đó đăng xuất khỏi shell MySQL. Hãy chắc chắn thay đổi mật khẩu trong truy vấn sau.

ALTER USER "root"@"localhost" IDENTIFIED WITH mysql_native_password BY "toor?p4ssw0rd";
exit

data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22352%22%3E%3C/svg%3E


Tiếp theo, chạy lệnh 'mysql_secure_installation' sau để bảo mật máy chủ MySQL của bạn triển khai.

sudo mysql_secure_installation

Khi được nhắc, hãy nhập mật khẩu gốc MySQL của bạn. Sau đó, bạn cũng sẽ được hỏi về các cấu hình MySQL sau:

• Thiết lập thành phần VALIDATE PASSWORD trên MySQL? Nhập Y để xác nhận.
• Nhập chính sách mật khẩu số mà bạn muốn sử dụng. Chọn chính sách lựa chọn ưa thích của bạn cho máy chủ MySQL của bạn.
• Thay đổi mật khẩu gốc MySQL? Nhập n cho Không.
• Xóa người dùng ẩn danh MySQL mặc định? Nhập Y.
• Vô hiệu hóa đăng nhập từ xa cho người dùng gốc MySQL? Nhập Y.
• Xóa kiểm tra cơ sở dữ liệu mặc định khỏi máy chủ MySQL? Nhập Y.
• Tải lại các đặc quyền bảng để áp dụng các thay đổi? Nhập Y để xác nhận.

Bây giờ bạn đã cài đặt máy chủ MySQL, cấu hình mật khẩu gốc MySQL và bảo mật triển khai MySQL. Tiếp theo, bạn sẽ cài đặt Redis, được sử dụng để xếp hàng các truy vấn phân tán và lưu trữ dữ liệu đệm cho fleet osquery manager.

Cài đặt Redis Server​

Trong phần này, bạn sẽ cài đặt máy chủ Redis vào Rocky Linux 9, khởi động và bật Redis, sau đó xác minh trạng thái của máy chủ Redis để đảm bảo máy chủ đang chạy. Redis sẽ được sử dụng để thu thập và xếp hàng các kết quả của các truy vấn phân tán, lưu trữ dữ liệu đệm, v.v.

Nhập lệnh sau để cài đặt Redis vào máy chủ Rocky Linux của bạn.

sudo dnf install redis

Xác nhận cài đặt bằng cách nhập y và nhấn ENTER để tiếp tục.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22168%22%3E%3C/svg%3E


Sau khi Redis được cài đặt, hãy chạy lệnh systemctl sau để khởi động và kích hoạt máy chủ Redis.

sudo systemctl start redis
sudo systemctl enable redis

Sau đó, hãy xác minh dịch vụ Redis bằng cách nhập lệnh sau. Điều này sẽ đảm bảo rằng dịch vụ Redis đang chạy và được bật.

sudo systemctl status redis

Bạn sẽ nhận được kết quả như thế này - Kết quả 'active (running)' xác nhận rằng máy chủ Redis đang chạy. Kết quả '...; enabled;...' xác nhận rằng máy chủ Redis đã được bật và sẽ tự động chạy khi hệ thống khởi động.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22243%22%3E%3C/svg%3E

Thiết lập Cơ sở dữ liệu và Người dùng MySQL​

Trong phần này, bạn sẽ tạo một cơ sở dữ liệu và người dùng MySQL mới sẽ được fleet osquery manager sử dụng. Bạn sẽ tạo một cơ sở dữ liệu và người dùng mới thông qua MySQL shell, sau đó xác minh danh sách người dùng và quyền cho người dùng MySQL mới.

Đăng nhập vào MySQL shell thông qua lệnh mysql bên dưới. Hãy chắc chắn nhập mật khẩu root MySQL của bạn khi được nhắc.

sudo mysql -u root -p

Để tạo cơ sở dữ liệu MySQL và người dùng mới, hãy thực hiện các truy vấn MySQL sau. Trong ví dụ này, bạn sẽ tạo cơ sở dữ liệu fleetdb và người dùng fleetadmin. Ngoài ra, hãy nhớ thay đổi mật khẩu trong truy vấn sau.

CREATE DATABASE fleetdb;
CREATE USER fleetadmin@localhost IDENTIFIED BY 'S3curep4ssw0rd--=';
GRANT ALL PRIVILEGES ON fleetdb.* TO fleetadmin@localhost WITH GRANT OPTION;
FLUSH PRIVILEGES;

Đầu ra:


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22227%22%3E%3C/svg%3E


Xác minh danh sách người dùng MySQL bằng truy vấn sau. Và bạn sẽ thấy người dùng MySQL mới fleetadmin được thêm vào và máy chủ MySQL khả dụng.

SELECT USER,host FROM mysql.user;

Đầu ra:


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22411%22%20height=%22260%22%3E%3C/svg%3E


Bây giờ hãy xác minh quyền cho người dùng MySQL fleetadmin. Bạn sẽ thấy rằng người dùng fleetadmin có quyền truy cập vào cơ sở dữ liệu fleetdb.

SHOW GRANTS FOR fleetadmin@localhost;

Đầu ra:


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22181%22%3E%3C/svg%3E


Nhập 'quit' để thoát khỏi MySQL shell.

Sau khi cài đặt cơ sở dữ liệu MySQL và máy chủ Redis, cơ sở dữ liệu và người dùng mới cũng được tạo, giờ đây bạn có thể bắt đầu cài đặt trình quản lý fleet osquery.

Tải xuống Fleet Osquery Manager​

Trình quản lý Fleet osquery có sẵn dưới dạng tệp nhị phân duy nhất cung cấp các nội dung sau:

• Máy chủ web Fleet TLS (không yêu cầu máy chủ web bên ngoài nhưng hỗ trợ proxy nếu muốn)
• Giao diện web Fleet
• API REST quản lý ứng dụng Fleet
• Điểm cuối API Fleet osquery

Đối với fleetctl, đây là giao diện dòng lệnh của fleet cho phép bạn quản lý việc triển khai, cấu hình, tích hợp và báo cáo của fleet từ dòng lệnh.

Trong bước này, bạn sẽ tải xuống gói nhị phân fleet và fleetctl từ trang GitHub chính thức. Tại thời điểm viết bài này, phiên bản mới nhất của fleet và fleetctl là v4.26.

Đầu tiên, hãy thêm người dùng hệ thống mới 'fleet' bằng cách nhập lệnh sau.

sudo useradd -r -d /opt/fleet -s /usr/sbin/nologin fleet

Tải xuống gói fleet và fleetctl thông qua lệnh curl bên dưới. Tại thời điểm viết bài này, phiên bản mới nhất của fleet là v4.26.

curl -LO https://github.com/fleetdm/fleet/releases/download/fleet-v4.26.0/fleet_v4.26.0_linux.tar.gz
curl -LO https://github.com/fleetdm/fleet/releases/download/fleet-v4.26.0/fleetctl_v4.26.0_linux.tar.gz

data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22206%22%3E%3C/svg%3E


Sau khi tải xuống, hãy giải nén gói fleet và fleetctl thông qua lệnh tar bên dưới.

tar xf fleet_v4.26.0_linux.tar.gz
tar xf fleetctl_v4.26.0_linux.tar.gz

Tiếp theo, sao chép tệp nhị phân của fleet và fleetctl vào thư mục '/usr/bin'. Với lệnh này, bây giờ bạn có thể chạy lệnh fleet và fleetctl từ thiết bị đầu cuối của mình.

cp fleet_v4.26.0_linux/fleet /usr/bin/
cp fleetctl_v4.26.0_linux/fleetctl /usr/bin/

data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22174%22%3E%3C/svg%3E


Bây giờ hãy chạy lệnh sau để đảm bảo rằng thư mục '/usr/bin' có sẵn trên biến môi trường PATH. Khi có thể, giờ đây bạn có thể chạy cả lệnh fleet và fleetctl bằng sudo.

echo $PATH

Xác minh đường dẫn nhị phân đầy đủ của lệnh fleet và fleetctl. Cả hai tệp nhị phân đều có trong thư mục '/usr/bin'.

which fleet
which fleetctl

Kiểm tra phiên bản fleet và fleetctl bằng lệnh sau.

fleet version
fleetctl --version

Bạn sẽ nhận được kết quả như thế này - Trình quản lý fleet osquery và fleetctl v4.26 đã được cài đặt và thêm vào Rocky Linux của bạn hệ thống.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22604%22%20height=%22358%22%3E%3C/svg%3E


Bây giờ hãy chạy lệnh fleet sau để khởi tạo cơ sở dữ liệu cho việc triển khai fleet của bạn. Hãy chắc chắn thay đổi các chi tiết của cơ sở dữ liệu MySQL và người dùng trong lệnh sau.

fleet prepare db \
--mysql_address=127.0.0.1:3306 --mysql_database=fleetdb --mysql_username=fleetadmin --mysql_password=S3curep4ssw0rd--=

Dưới đây là đầu ra trong quá trình khởi tạo.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22214%22%3E%3C/svg%3E


Khi quá trình khởi tạo hoàn tất, bạn sẽ nhận được đầu ra như 'Di chuyển hoàn thành'.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22265%22%3E%3C/svg%3E


Sau khi khởi tạo và di chuyển cơ sở dữ liệu đội xe, bạn đã sẵn sàng thiết lập cài đặt Fleet Osquery Manager và chạy Fleet ở chế độ nền như một dịch vụ systemd.

Cấu hình Fleet Osquery Manager​

Trong bước này, bạn tạo một thư mục cấu hình mới cho đội xe, thêm và sửa đổi tệp cấu hình đội xe sẽ nằm tại '/etc/fleet/fleet.yml', sau đó bạn sẽ thiết lập tệp dịch vụ systemd '/etc/systemd/system/fleet.service' dành cho trình quản lý đội xe osquery.

Khi kết thúc bước này, đội xe của bạn sẽ chạy như một dịch vụ systemd và sẽ được bật và chạy tự động khi hệ thống khởi động.

Đầu tiên, hãy tạo một thư mục mới '/etc/fleet/certs' sẽ được sử dụng để lưu trữ cấu hình đội xe và các tệp chứng chỉ TLS của bạn. Sau đó, tạo tệp cấu hình mới '/etc/fleet/fleet.yml' và tệp dịch vụ systemd '/etc/systemd/system/fleet.service'.

mkdir -p /etc/fleet/certs
touch /etc/fleet/fleet.yml /etc/systemd/system/fleet.service

Tiếp theo, sao chép chứng chỉ TLS đã tạo của bạn vào thư mục '/etc/fleet/certs' và thay đổi quyền sở hữu thư mục cấu hình đội tàu thành người dùng và nhóm 'đội tàu'.

cp /etc/letsencrypt/live/fleet.howtoforge.local/fullchain.pem /etc/fleet/certs/
cp /etc/letsencrypt/live/fleet.howtoforge.local/privkey.pem /etc/fleet/certs/
sudo chown -R fleet:fleet /etc/fleet

Mở tệp cấu hình đội tàu '/etc/fleet/fleet.yml' bằng lệnh trình chỉnh sửa nano sau.

nano /etc/fleet/fleet.yml

Thêm các dòng sau vào tệp và đảm bảo thay đổi thông tin chi tiết về cơ sở dữ liệu MySQL và người dùng cũng như đường dẫn của tệp chứng chỉ SSL/TLS.

Với điều này, bạn sẽ chạy fleet với máy chủ cơ sở dữ liệu MySQL, Redis, triển khai bảo mật thông qua chứng chỉ TLS và bật ghi nhật ký ở định dạng json.

mysql:
 address: 127.0.0.1:3306
 database: fleetdb
 username: fleetadmin
 password: S3curep4ssw0rd--=
redis:
 address: 127.0.0.1:6379
server:
 cert: /etc/fleet/certs/fullchain.pem
 key: /etc/fleet/certs/privkey.pem
logging:
 json: true
# auth:
# jwt_key: 0iXLJRKhB77puDm13G6ehgkClK0kff6N

Lưu và thoát tệp '/etc/fleet/fleet.yml' khi hoàn tất.

Tiếp theo, mở tệp dịch vụ systemd fleet '/etc/systemd/system/fleet.service' bằng trình chỉnh sửa nano sau lệnh.

sudo nano /etc/systemd/system/fleet.service

Thêm các dòng sau vào tệp. Với điều này, bạn sẽ chạy fleet như một dịch vụ systemd, với tệp cấu hình '/etc/fleet/fleet.yml' và dịch vụ này sẽ được chạy như một người dùng và nhóm 'fleet'.

[Unit]
Description=Fleet Osquery Fleet Manager
After=network.target

[Service]
User=fleet
Group=fleet
LimitNOFILE=8192
ExecStart=/usr/bin/fleet serve -c /etc/fleet/fleet.yml
ExecStop=/bin/kill -15 $(ps aux | grep "fleet serve" | grep -v grep | awk '{print$2}')

[Install]
WantedBy=multi-user.target

Lưu tệp '/etc/systemd/system/fleet.service' và thoát khỏi trình chỉnh sửa khi hoàn tất.

Bây giờ hãy chạy tiện ích lệnh systemctl sau để tải lại trình quản lý systemd và áp dụng thay đổi.

sudo systemctl daemon-reload

Sau đó, khởi động và kích hoạt dịch vụ đội tàu bằng tiện ích lệnh systemctl bên dưới.

sudo systemctl start fleet
sudo systemctl enable fleet

data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22204%22%3E%3C/svg%3E


Bây giờ hãy xác minh dịch vụ fleet bằng lệnh bên dưới để đảm bảo rằng dịch vụ đang chạy.

sudo systemctl status fleet

Bây giờ bạn đã có fleet chạy như một dịch vụ systemd. Ngoài ra, giờ đây nó đã được bật và sẽ tự động khởi động khi hệ thống khởi động.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22242%22%3E%3C/svg%3E


Với điều đó, fleet osquery manage hiện đang chạy như một dịch vụ systemd với tệp cấu hình mặc định '/etc/fleet/fleet.yml' trên cổng TCP 8080. Trước khi truy cập cài đặt fleet của bạn, bạn phải mở cổng 8080 trên firewalld.

Cấu hình Firewalld​

Trong phần này, bạn sẽ mở cổng 8080 (được fleet sử dụng) trên hệ thống của bạn thông qua firewalld. Trên Rocky Linux mặc định, firewalld được cài đặt và chạy.

Chạy lệnh firewall-cmd sau để thêm cổng 8080 vào firewalld. Sau đó, tải lại các quy tắc firewalld để áp dụng các thay đổi.

sudo firewall-cmd --add-port=8080/tcp --permanent
sudo firewall-cmd --reload

Bây giờ hãy xác minh danh sách các quy tắc firewalld và đảm bảo rằng cổng 8080 đã được thêm vào và khả dụng trên firewalld.

sudo firewall-cmd --list-all

Trong phần 'cổng', bạn sẽ thấy cổng '8080/tcp'. Điều này xác nhận rằng cổng fleet 8080 đã được thêm vào firewalld.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22698%22%20height=%22288%22%3E%3C/svg%3E

Cấu hình Fleet Osquery Manager​

Nếu bạn đã làm theo hướng dẫn này cho đến nay, thì fleet osquery manager đang chạy và cổng 8080 đã được thêm vào firewalld. Trong phần này, bạn sẽ thiết lập triển khai fleet osquery manager. Bạn sẽ thiết lập người dùng đầu tiên và thiết lập triển khai thông qua trình duyệt web.

Mở trình duyệt web và truy cập miền cài đặt fleet osquery manager của bạn với cổng TCP 8080 (tức là: https://fleet-rock.howtoforge.local:8080/).

Ở bước đầu tiên, bạn sẽ được yêu cầu thiết lập người dùng đầu tiên cho triển khai đội xe của mình. Nhập tên đầy đủ, địa chỉ email và mật khẩu của bạn, sau đó nhấp vào Tiếp theo.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22668%22%3E%3C/svg%3E


Nhập thông tin chi tiết về tổ chức, sau đó nhấp vào Tiếp theo một lần nữa.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22676%22%20height=%22750%22%3E%3C/svg%3E


Đối với URL đội xe, bạn có thể để nguyên mặc định và nhấp vào Tiếp theo.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22710%22%20height=%22750%22%3E%3C/svg%3E


Kiểm tra lại cấu hình đội xe của bạn và nhấp vào Xác nhận để hoàn tất việc triển khai.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22632%22%20height=%22750%22%3E%3C/svg%3E


Khi thành công, bạn sẽ nhận được bảng điều khiển quản lý đội xe.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22416%22%3E%3C/svg%3E


Bây giờ quá trình cài đặt trình quản lý osquery đội xe đã hoàn tất. Với điều này, bạn có thể thêm máy chủ mới vào fleet theo nhiều cách như sử dụng Orbit (osquery runtime), fleet Desktop cho máy chủ có môi trường máy tính để bàn (bao gồm Windows và macOS) hoặc thủ công bằng cách tạo chứng chỉ TLS và bí mật fleet.

Thêm máy chủ thông qua Orbit Osquery Runtime​

Orbit là một osquery runtime và trình cập nhật tự động cho phép bạn dễ dàng triển khai osquery và quản lý cấu hình. Orbit là một tác nhân cho fleet, có thể sử dụng với hoặc không có Fleet và Fleet có thể sử dụng với hoặc không có Orbit.

Trong bước này, bạn sẽ tìm hiểu cách tạo trình cài đặt gói Orbit cho các bản phân phối dựa trên RHEL. Sau đó, bạn sẽ học cách thêm máy chủ mới vào đội tàu thông qua Orbit.

Để bắt đầu, hãy quay lại bảng điều khiển đội tàu và nhấp vào 'Thêm máy chủ'.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22508%22%20height=%22361%22%3E%3C/svg%3E


Chọn tab 'Nâng cao', tải xuống chứng chỉ đội tàu 'fleet.pem', sau đó sao chép lệnh sẽ được sử dụng để tạo gói quỹ đạo cho các bản phân phối cụ thể. Bạn có thể tạo trình cài đặt quỹ đạo cho RPM, DEB và pkg (dành cho macOS).


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22639%22%20height=%22542%22%3E%3C/svg%3E


Tiếp theo, tải chứng chỉ đội xe mà bạn đã tải xuống lên máy chủ đội xe. Trong ví dụ này, bạn sẽ sử dụng 'scp' để tải tệp 'fleet.pem' lên máy chủ fleet.

scp fleet.pem [emailprotected]:/opt/

Sau khi chứng chỉ fleet.pem được tải lên, hãy chạy dòng lệnh sẽ được sử dụng để tạo gói cài đặt orbit. Hãy đảm bảo thay đổi tham số '--type' thành gói bạn muốn.

Trong ví dụ này, bạn sẽ tạo một gói orbit cho bản phân phối dựa trên RHEL. Đối với bản phân phối dựa trên Debian, bạn có thể thay đổi tham số '--type' thành 'deb' và bạn có thể sử dụng gói 'pkg' để tạo trình cài đặt orbit cho macOS.

fleetctl package --type=rpm --fleet-url=https://fleet-rock.howtoforge.local:8080 \
--enroll-secret=ewQBXuvBJ70ZiFFkjOLFLp3V4POe+KTu \
--fleet-certificate=/opt/fleet.pem

Đầu ra:


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22215%22%3E%3C/svg%3E


Sau khi quá trình hoàn tất, bạn có thể thấy tệp 'fleet-osquery_version.rpm' trong thư mục làm việc hiện tại của bạn.

Tiếp theo, cài đặt gói orbit đã tạo thông qua lệnh rpm bên dưới. Sau khi cài đặt, gói orbit sẽ tạo một tệp dịch vụ mới 'orbit.service' cho phép bạn quản lý orbit thông qua systemctl.

sudo rpm -Uvh fleet-osquery_version.rpm

Đầu ra:


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22143%22%3E%3C/svg%3E


Sau khi orbit được cài đặt, hãy chạy lệnh systemctl bên dưới để khởi động dịch vụ orbit. Sau đó, hãy xác minh trạng thái để đảm bảo rằng dịch vụ quỹ đạo đang chạy.

sudo systemctl start orbit
sudo systemctl status orbit

Bạn sẽ nhận được thông báo như thế này - Dịch vụ quỹ đạo đang 'hoạt động (đang chạy)' và được bật, sẽ tự động chạy khi hệ thống khởi động.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22178%22%3E%3C/svg%3E


Bây giờ quay lại bảng điều khiển đội tàu và bạn sẽ thấy máy chủ mới 'fleet-rock.howtoforge.local' được thêm vào trình quản lý osquery đội tàu.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22223%22%3E%3C/svg%3E


Nhấp vào tên máy chủ 'fleet-rock.howtoforge.local' để biết thông tin chi tiết về máy chủ.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22533%22%3E%3C/svg%3E


Với điều này, giờ bạn đã thêm máy chủ vào trình quản lý fleet osquery thông qua Orbit osquery runtime. Bạn cũng đã tạo trình cài đặt orbit cho các bản phân phối dựa trên RHEL.

Trong bước tiếp theo, bạn sẽ tìm hiểu cách thiết lập fleetctl để kết nối với máy chủ fleet và quản lý việc triển khai fleet của bạn thông qua thiết bị đầu cuối.

Thiết lập Fleetctl để quản lý Fleet​

Fleetctl hoặc Fleet control là dòng lệnh để quản lý triển khai fleet từ thiết bị đầu cuối. Fleetctl cho phép bạn quản lý cấu hình và truy vấn, tạo trình cài đặt osquery và kích hoạt quy trình làm việc GitOps với fleet.

Trong bước này, bạn sẽ thiết lập fleetctl và kết nối với trình quản lý fleet osquery mà bạn đã cài đặt.

Trước tiên, hãy chạy lệnh sau để thiết lập URL fleet mặc định. Hãy nhớ thay đổi tên miền và đảm bảo rằng bạn đang sử dụng kết nối bảo mật HTTPS. Với điều này, bạn sẽ thiết lập kết nối đội xe trong bối cảnh/hồ sơ 'mặc định'.

fleetctl config set --address https://fleet-rock.howtoforge.local:8080

Đăng nhập vào trình quản lý đội xe osquery của bạn bằng lệnh bên dưới. Hãy đảm bảo thay đổi địa chỉ email trong lệnh bên dưới.

fleetctl login --email [emailprotected]

Bây giờ hãy nhập mật khẩu mà bạn đang sử dụng để đăng nhập vào bảng điều khiển đội xe. Sau khi thành công, bạn sẽ nhận được thông báo như sau 'Đăng nhập Fleet thành công và đã cấu hình ngữ cảnh!'.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22158%22%3E%3C/svg%3E


Sau khi đăng nhập vào fleet, hãy chạy lệnh fleetctl sau để xác minh cấu hình của bạn.

Kiểm tra danh sách các máy chủ khả dụng trên hạm đội.

fleetctl get hosts

Đầu ra - Bạn sẽ thấy máy chủ 'fleet-rock.howtoforge.local' có sẵn trên hạm đội với osquery v5.7.0.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22169%22%3E%3C/svg%3E


Đang kiểm tra danh sách người dùng khả dụng trên fleet.

fleetctl get ur

Đầu ra - Bạn sẽ thấy người dùng fleet mà bạn đã tạo.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22417%22%20height=%22191%22%3E%3C/svg%3E


Với điều này, bây giờ bạn đã cấu hình fleetctl và kết nối với triển khai fleet của mình. Bây giờ bạn có thể thiết lập máy chủ và truy vấn, quản lý các bản cập nhật, chạy truy vấn trực tiếp từ máy chủ đầu cuối của mình.

Kết luận​

Trong hướng dẫn này, bạn đã cài đặt Fleet Osquery Manager trên máy chủ Rocky Linux 9. Bạn đã cài đặt Fleet với MySQL làm cơ sở dữ liệu phụ trợ và Redis để thu thập dữ liệu hàng đợi và bộ đệm. Ngoài ra, bạn đã bảo mật Fleet bằng chứng chỉ SSL/TLS và chạy Fleet như một dịch vụ systemd cho phép bạn dễ dàng quản lý Fleet bằng tiện ích lệnh systemctl.

Cuối cùng, bạn cũng đã thêm một máy chủ vào Fleet thông qua Orbit (thời gian chạy osquery) và tạo trình cài đặt gói cho các bản phân phối dựa trên RHEL. Ngoài ra, bạn đã định cấu hình fleetctl và đăng nhập vào Fleet để có thể quản lý và định cấu hình máy chủ từ máy chủ đầu cuối của mình.

Với những điều này, bây giờ bạn có thể thêm máy chủ mới vào Fleet osquery manage thông qua orbit hoặc sử dụng thủ công thông qua dịch vụ osqueryd thông thường. Ngoài ra, bạn có thể xác định các truy vấn mới để giám sát máy chủ của mình, thiết lập xử lý lỗ hổng cho phép bạn phát hiện CVE thông qua Fleet và nhiều hơn nữa. Tìm hiểu thêm về Fleet từ tài liệu chính thức của Fleet.