CentOS Syslog日志審計怎么做

在CentOS系統中，Syslog日志審計是一個重要的安全措施，可以幫助系統管理員監控和記錄系統活動，發現潛在的安全威脅。以下是通過CentOS Syslog實現日志審計的步驟：

安裝和配置Syslog服務

1. 安裝Syslog服務：

   sudo yum install rsyslog
   

2. 啟動和設置Syslog服務開機自啟：

   sudo systemctl start rsyslog
   sudo systemctl enable rsyslog
   

3. 配置Syslog接收遠程日志：

   編輯 /etc/rsyslog.conf 文件，添加以下內容以接收遠程日志：

   *.* @172.16.248.198:514
   

   修改此處IP為你的日志接收端IP，然后重啟Syslog服務以應用更改：

   sudo systemctl restart rsyslog
   

配置審計規則

1. 安裝auditd：

   在大多數Linux發行版中，auditd已經預裝。如果沒有，可以使用包管理器安裝：

   sudo yum install audit  # CentOS/RHEL
   

2. 配置auditd：

   編輯 /etc/audit/auditd.conf 文件，確保以下配置：

   log_format = RAW
   write_logs = yes
   log_file = /var/log/audit/audit.log
   

   然后創建日志目錄并設置權限：

   sudo mkdir -p /var/log/audit
   sudo chown root:adm /var/log/audit
   sudo chmod 750 /var/log/audit
   

3. 啟動并啟用auditd服務：

   sudo systemctl start auditd
   sudo systemctl enable auditd
   

4. 添加審計規則：

   編輯 /etc/audit/rules.d/audit.rules 文件，添加你需要的審計規則。例如：

   -a exit,always -F arch=b32 -S execve -k execve_audit
   -a exit,always -F arch=b64 -S execve -k execve_audit
   

   然后重新加載auditd配置：

   sudo augenrules --load
   

監控和分析日志

1. 使用ausearch和aureport工具來監控和分析審計日志：

   安裝ausearch和aureport：

   sudo yum install ausearch aureport  # CentOS/RHEL
   

   使用ausearch查詢日志：

   sudo ausearch -k execve_audit
   

   使用aureport生成報告：

   sudo aureport -k execve_audit
   

定期備份和清理日志

為了防止日志文件過大，可以定期備份和清理日志文件。

1. 備份日志：

   sudo cp /var/log/audit/audit.log /var/log/audit/audit.log.bak
   

2. 清理舊日志：

   可以使用logrotate工具來自動清理舊日志：

   編輯 /etc/logrotate.d/audit 文件，添加以下內容：

   /var/log/audit/*.log {
       daily
       missingok
       rotate 7
       compress
       notifempty
       create 640 root adm
   }
   

   然后重啟logrotate服務：

   sudo systemctl restart logrotate
   

通過以上步驟，你可以使用syslog和auditd實現詳細的日志審計功能，幫助你監控和分析系統活動。定期審查和更新日志審計策略，以應對不斷變化的安全威脅。