In bester Bademeister-Tradition brauchen Admins einen guten Überblick über ihr Netzwerk, um eventuelle Fehlerquellen frühzeitig zu entschärfen. Dank SNMP kein Problem: Das Protokoll liefert gezielte Einblicke in jede SNMP-fähige Komponente und gibt ihr bei Bedarf auch Anweisungen.

Festplattenplatz

Den verfügbaren Platz einer Festplattenpartition überwacht der Agent, wenn die Konfiguration folgende Zeile enthält:

disk / 10000

Falls der freie Platz auf der Root-Partition die 10-MByte-Grenze unterschreitet, setzt der Agent das »dskErrorFlag«. Unter »dskPercent« zeigt er, wie groß der Anteil freien Speichers derzeit ist. Entsprechendes gilt für die Prozessorlast, die in der Tabelle »loadTable« steht. Mit der Nagiostat-Erweiterung [10] liest Nagios (ähnlich wie MRTG) Werte aus einem SNMP-Agenten und stellt den Inhalt als Grafik dar. Die Abbildungen 5a und 5b zeigen die damit gemessene Prozessorauslastung eines Servers.

Abbildung 5a: Diese Nagios-Installation überwacht für einen Computer den Festplattenplatz und die Prozessorlast mit Hilfe von SNMP. Zudem fragt Nagios einzelne Dienste direkt ab.

Abbildung 5b: Nagiostat bereitet die Prozessorlast grafisch auf. Deutlich ist die Schwankung im Verlauf eines Jahres zu erkennen. Der Server steht in einer Schule und hat in den Ferien wenig zu tun.

Sogar Logfiles kann ein Net-SNMP-Agent überwachen. Leider ist diese Funktion kaum dokumentiert. In der Konfiguration müssen der Name des Tests, das zu überwachende Logfile, die Zeitabstände zwischen den Prüfungen und der gesuchte Ausdruck (als Regular Expression) angegeben sein. Soll der Agent die Logdatei des Mailservers alle 30 Sekunden nach Nachrichten über unbekannte Benutzer durchsuchen, so lautet die Konfiguration:

logmatch unknown_user /var/log/mail 30 User unknown

Der Agent liefert die Gesamtzahl an Fundstellen in »logMatchGlobalCount« sowie in »logMatchCount« die Trefferzahl seit der letzten Anfrage.

Von selbst aktiv

Der Agent sorgt selbst dafür, dass er - auch ohne Anfrage des Managers - das Logfile alle 30 Sekunden nach weiteren Treffern durchsucht und die Werte in der MIB anpasst. In anderen Fällen ermitteln Agenten einen Wert erst, wenn wirklich eine Anfrage dazu vorliegt.

Durch eine Statistik der »User unknown«-Einträge im Mail-Log kann das Managementsystem so genannte Rumpelstielzchen-Attacken entdecken. Mit ihr versuchen Spammer gültige Mailadressen zu erfahren, indem sie viele Benutzernamen durchprobieren. Auch Brute-Force-Attacken gegen SSH sind so auszumachen. Abbildung 6 zeigt als Beispiel die Spam-Statistik eines Mailservers. Grün sind die verarbeiteten Mails dargestellt und blau die erkannten Spams.

Abbildung 6: Verkehrsstatistik eines Mailservers. Grün dargestellt sind die verarbeiteten Mails, Spam dagagen blau. Im April senkt eine neu eingeführte RBL-Prüfung (Realtime Blackhole List) die Zahl verarbeiteter Mails um 50 Prozent. Durch besseres Training erkennt Spamassassin seit Februar mehr Müll.

Die einfachste Technik, um einen SNMP-Agenten mit eigenen Kommandos aufzurüsten, besteht darin, ihn externe Befehle ausführen zu lassen. Zum Beispiel den Status der Festplatte »/dev/hda« mit »smartctl« abzufragen [14]:

exec diskstatus /usr/sbin/smartctl -q silent /dev/hda

Ein Aufruf des Teilbaums »extTable« startet das Diskstatus-Kommando und liefert das Ergebnis. Die Ausgabe von »snmpwalk -v1 -c public localhost .extTable« ist in Listing 3 zu sehen. Der Wert »0« in »extResult.1« (Zeile 4) zeigt, dass die Festplatte nach Meinung der Smartmontools in Ordnung ist und keiner Nachforschung bedarf. Ein Managementsystem könnte bei abweichenden Werten ein rotes Lämpchen aktivieren. In »extOutput« wäre die erste Zeile der Standardausgabe zu sehen, so vorhanden.

01 UCD-SNMP-MIB::extIndex.1 = INTEGER: 1
02 UCD-SNMP-MIB::extNames.1 = STRING: diskstatus
03 UCD-SNMP-MIB::extCommand.1 = STRING: /usr/sbin/smartctl -q silent /dev/hda
04 UCD-SNMP-MIB::extResult.1 = INTEGER: 0
05 UCD-SNMP-MIB::extOutput.1 = STRING:
06 UCD-SNMP-MIB::extErrFix.1 = INTEGER: 0
07 UCD-SNMP-MIB::extErrFixCmd.1 = STRING:

In bester Bademeister-Tradition brauchen Admins einen guten Überblick über ihr Netzwerk, um eventuelle Fehlerquellen frühzeitig zu entschärfen. Dank SNMP kein Problem: Das Protokoll liefert gezielte Einblicke in jede SNMP-fähige Komponente und gibt ihr bei Bedarf auch Anweisungen.