Graylog: Guía práctica de configuración y empleo

1) ¿Qué es Graylog y cómo funciona?

Graylog destaca como centro único de logs (syslog crudo o estructuras personalizadas) con búsquedas potentes y depuración fina en entornos distribuidos.

2) Despliegue recomendado (Docker Compose)

Recomendación actual: usa Docker Compose para entornos de prueba/piloto y como base de producción (ajustando volúmenes, memoria, TLS y alta disponibilidad).

# docker-compose.yml (ejemplo mínimo educativo)
services:
  mongo:
    image: mongo:6
    restart: unless-stopped
    volumes:
      - mongo_data:/data/db

  opensearch:
    image: opensearchproject/opensearch:2
    environment:
      - discovery.type=single-node
      - "OPENSEARCH_JAVA_OPTS=-Xms2g -Xmx2g"
    ulimits:
      memlock: { soft: -1, hard: -1 }
      nofile: { soft: 65536, hard: 65536 }
    restart: unless-stopped
    volumes:
      - os_data:/usr/share/opensearch/data

  graylog:
    image: graylog/graylog:5
    depends_on: [mongo, opensearch]
    environment:
      GRAYLOG_NODE_ID_FILE: /usr/share/graylog/data/config/node-id
      GRAYLOG_PASSWORD_SECRET: "$(openssl rand -base64 32)"
      GRAYLOG_ROOT_PASSWORD_SHA2: "$(echo -n "TuPasswordFuerte" | sha256sum | cut -d" " -f1)"
      GRAYLOG_HTTP_EXTERNAL_URI: http://:9000/
      GRAYLOG_ELASTICSEARCH_HOSTS: http://opensearch:9200
    ports:
      - "9000:9000"   # UI/API
      - "12201:12201/udp" # GELF UDP (opcional)
      - "1514:1514/udp"   # Syslog UDP (opcional)
    restart: unless-stopped
    volumes:
      - gl_data:/usr/share/graylog/data

volumes:
  mongo_data:
  os_data:
  gl_data:

# Levantar el stack
docker compose up -d

# Acceso
# Navega a: http://:9000
# Usuario: admin  (cambia la contraseña tras el primer login)

Para producción: separa nodos (Graylog / OpenSearch / MongoDB), configura TLS, ajusta JVM/heap y prepara copias de seguridad y retenciones.

3) (Opcional) Instalación clásica en Linux

El artículo de DesdeLinux describe una instalación tradicional (paquetes + Java + MongoDB + Elasticsearch + Graylog). Si necesitas este enfoque, valida versiones soportadas y repositorios actuales antes de instalar. En general:

1. Instala Java (JRE/JDK actualizado).
2. Instala y habilita MongoDB.
3. Instala y configura OpenSearch o Elasticsearch (asigna nombre de clúster, heap, almacenamiento rápido).
4. Instala graylog-server, genera password_secret y root_password_sha2, adapta rest_listen_uri/http_external_uri y abre puertos UI/inputs.

Nota: los comandos y versiones del artículo original pueden estar desactualizados (p. ej., ES 5.x y MongoDB 3.6). Emplea versiones soportadas por tu release de Graylog y distribución.

4) Configuración inicial de Graylog

// Ejemplo: normaliza severidad y enriquece con ambiente
rule "normaliza_severidad"
when has_field("level")
then
  let lvl = to_long($message.level);
  set_field("severity", case(
    lvl >= 50, "CRITICAL",
    lvl >= 40, "ERROR",
    lvl >= 30, "WARN",
    lvl >= 20, "INFO",
    "DEBUG"));
  set_field("env", "prod");
end

5) Búsqueda, paneles y alertas

6) Retención, archivado y costes

• Define índices por criticidad/tiempo (prod vs. dev) y tamaños de segmento prudentes.
• Políticas de retención por días o por tamaño; rota y elimina automáticamente.
• Exporta a almacenamiento económico (archivado) si requieres retención prolongada.

7) Seguridad y cumplimiento

• TLS en todo: UI/API y entradas (GELF/Beats/HTTP) con certificados válidos.
• RBAC y carpetas por equipo/área; evita cuentas compartidas.
• Hardening: restringe puertos de inputs, red interna para OpenSearch/MongoDB.
• Auditoría: registra cambios de configuración y accesos.

8) Operación y escalado

9) Ejemplos rápidos

9.1 Input GELF UDP (aplicaciones)

1. System → Inputs → GELF UDP (puerto 12201).
2. En tu app (ej. logger GELF): apunta a graylog:12201.

9.2 Extractor grok (Nginx)

%{IPORHOST:clientip} - %{DATA:user} \[%{HTTPDATE:timestamp}\] "%{WORD:verb} %{DATA:request} HTTP/%{NUMBER:http_version}" %{NUMBER:response} %{NUMBER:bytes}

9.3 Reglas de pipeline (enriquecimiento simple)

rule "marca_errores_5xx"
when to_int($message.response) >= 500
then
  set_field("is_error", true);
  set_field("service", "nginx");
end

10) Checklist de producción

• ☑ Cambiaste password_secret y la contraseña de admin.
• ☑ Configuraste TLS (UI e inputs).
• ☑ Definiste streams, pipelines y alertas básicas.
• ☑ Estableciste retención y backups.
• ☑ Monitorizas uso de disco/heap y salud del clúster.

Referencias y lecturas

• Artículo base: DesdeLinux: Graylog – administración y análisis de registros
• Documentación oficial de Graylog (instalación, arquitectura, conceptos).