Debian syslog如何審計

在Debian系統中，Syslog的審計可以通過多種方式進行，以確保系統的安全性和可追溯性。以下是一些關鍵的配置步驟和方法：

配置Syslog以發送日志到遠程服務器

• 編輯Syslog配置文件：打開 /etc/rsyslog.conf 文件，添加如下行以將所有系統日志發送到遠程服務器：

  *.* action(type="ommysql" server="example.com" db="syslog" uid="root" pwd="password")
  

  其中，example.com 是遠程服務器的地址，db="syslog" 指定使用Syslog數據庫，uid 和 pwd 分別是遠程服務器的用戶名和密碼。

• 重啟Syslog服務：保存配置文件后，重啟Syslog服務以應用更改：

  sudo systemctl restart rsyslog
  

使用Auditd進行更詳細的審計

• 安裝和配置Auditd：Auditd是Linux的審計守護進程，可以記錄系統調用和文件訪問等詳細信息。

  sudo apt-get install auditd audispd-plugins
  

• 配置Auditd規則：編輯 /etc/audit/rules.d/audit.rules 文件，添加審計規則，例如記錄所有用戶執行的命令：

  -a always,exit -S execve
  

• 重啟Auditd服務：應用規則后，重啟Auditd服務：

  sudo service auditd restart
  

查看Syslog日志

• 使用journalctl命令：這是systemd的日志服務命令行工具，可以顯示系統日志的實時滾動記錄。

  journalctl -b  # 顯示自系統啟動以來的日志
  journalctl -f  # 實時顯示新日志
  

• 查看日志文件：Syslog日志通常位于 /var/log/syslog，可以使用以下命令查看：

  cat /var/log/syslog
  less /var/log/syslog
  

注意事項

• 權限設置：確保只有特定的用戶和組可以訪問和修改日志文件，以保護系統安全。

  sudo chown root:syslog /var/log/syslog
  sudo chmod 640 /var/log/syslog
  

• 日志級別：根據需求調整日志級別，以記錄必要的信息。例如，將日志級別設置為 debug 以獲取更詳細的日志信息。

  *.* /var/log/syslog & stop:msg, contains, "error" -/var/log/syslog & start
  

通過上述配置，您可以有效地審計Debian系統中的Syslog日志，從而提高系統的安全性和可追溯性。