Installed Collectorをリモートでバージョンアップする #sumologic
※ 2021/12/14 影響について追記しました
世間的に広く使われているJavaロギングフレームワークのlog4j2にゼロデイ脆弱性が見つかった、というニュース、みなさんの耳にも届いているかと思います。
弊DevelopersIOブログでも、いくつか関連記事がでています。
- Log4jの脆弱性対策としてAWS WAFのマネージドルールに「Log4JRCE」が追加されました | DevelopersIO
- Log4j2 脆弱性問題における SpringBoot アプリケーションの検証 | DevelopersIO
Sumo LogicのInstalled CollectorもJavaで作られており、ログフレームワークにこの log4j が使われています。
現地時間の 12/11 、今回の脆弱性をうけて対処済みバージョンのコレクターが公開されました。
December 11, 2021 (19.361-12)
Log4j upgraded to 2.15.0 to fix the zero-day exploit affecting the popular Apache Log4j utility (CVE-2021-44228).
Installed Collectorはリモートでアップグレード（バージョンアップ）が可能です。忘れずに最新バージョンにしておきましょう。
その前に：Installed Collectorに対する影響について
Sumo LogicからはWeb上でのアナウンスはされていませんが、12/11 の時点でユーザーアカウント向けにメールで影響についての説明がされています。
それによると、Collectorとしてはバージョン 19.227-15 (2018/10リリース) の時点で、本脆弱性の影響を受けない状態になっているとのことでした。ただしリスクを最小にする措置として、Installed Collectorは最新バージョンの利用を推奨するとのことです。
ちなみに Sumo Logic 公式ブログにて、本脆弱性をついた攻撃の痕跡をログ上からSumo Logicを使って検索する方法について記事が掲載されています。
やってみる
Installed Collectorのアップグレードは、以下の3つの方法で実施可能です。
その上で、まずは（まだ読まれていなかった場合は）Sumo Logicが公開しているベストプラクティスをお読み下さい。
ここではそのベストプラクティスに従い、Webコンソールから実施してみます。
Sumo LogicのWebコンソールにログインし、 Manage Data --> Collection をクリックすると、 Collection タブの右上「Upgrade Collection」の前に注意アイコンが表示されているかと思います。
ひらくと、ふたつのInstalled Collectorがアップグレード対象としてリストアップされていました。
まずAmazon Linux 2上で動作しているコレクタ ip-172-31-30-31 に対してアップグレードしてみます。右端の Upgrade をクリックするとアップグレードが始まります。
ちなみに今回は関係ありませんでしたが、コレクタ管理画面から対象コレクタ（ホスト）の詳細を開いてこちらからアップグレードすることも可能です
今回は概ね5分程度で完了しました。
ドキュメントにあるように、アップグレード中もとまりません（最終的にプロセスを再起動する瞬間だけ停止します）。
次はWindowsホスト EC2AMAZ-MCGSVOC に対してやってみます。残り一つですし、 Upgrade All ボタンをためしてみました。
こっちでも同様にアップグレードプロセスが開始されます（複数台残っていたら、一斉に開始されるはずです）。
こちらも5分程度で完了しました！
注意事項
Upgrade Collectionのダイアログにも書いてありますが、対象ホストが Ubuntu 16 の場合はコマンドラインからのアップグレードを行って下さい。
Collectors running on Ubuntu 16 Linux will require a manual service restart after upgrade.
アップデートが失敗するケースも考えられますが、その際でも旧コレクタが動作し続ける設計です。
タイミング的な可能性もありますのでリトライしたり、該当サーバ上にログインしてコマンドラインからアップグレードを試してみて下さい。
なおドキュメントには、よくある失敗の原因として以下が挙げられています：
- 利用可能なディスク領域が不足
- パーミッションエラーにより Sumo Logic へのアクセスがブロックされた（ファイルアクセスなど）
- アップグレード中にネットワークエラーが発生した
Collector アップグレードのベストプラクティス
Sumo Logicのヘルプドキュメントには、Collectorアップグレードにあたってのベストプラクティスが記載されています。
ポイントは以下です：
- 最新を使用する
- Sumo Logic ユーザ インターフェイスを使用してアップグレードする
- ステージング環境で新しい Collector をテストする
また、チェック項目なども掲載されてますので、アップグレード作業の参考にしてください。
