Linux syslog怎樣進行日志審計

在Linux系統中，Syslog是一種用于記錄系統消息和錯誤的日志機制，通過它可以監控系統活動、檢測異常行為以及滿足合規性要求。以下是如何使用Syslog進行日志審計的詳細步驟：

配置Syslog服務

1. 安裝Syslog服務： 確保你的系統已經安裝并配置了Syslog服務。常見的Syslog服務有rsyslog和syslog-ng。

   # 安裝rsyslog（以Debian/Ubuntu為例）
   sudo apt-get update
   sudo apt-get install rsyslog
   
   # 安裝syslog-ng（以CentOS/RHEL為例）
   sudo yum install syslog-ng
   

2. 編輯Syslog配置文件： 編輯Syslog配置文件（如/etc/rsyslog.conf或/etc/syslog-ng/syslog-ng.conf），添加日志記錄規則。

   rsyslog示例配置：

   # 定義審計日志文件
   local0.* /var/log/audit.log
   
   # 設置日志級別和設施
   auth,authpriv.* /var/log/audit.log
   

   syslog-ng示例配置：

   destination d_audit { file("/var/log/audit.log"); };
   
   filter f_audit { facility(auth) or facility(authpriv); };
   
   log { source(s_src); destination(d_audit); };
   

3. 重啟Syslog服務： 應用配置更改后，重啟Syslog服務以使更改生效。

   sudo systemctl restart rsyslog
   # 或
   sudo systemctl restart syslog-ng
   

配置審計守護進程（auditd）

1. 安裝auditd： 在大多數Linux發行版中，auditd已經預裝。如果沒有，可以使用包管理器安裝。

   # 安裝auditd（以Debian/Ubuntu為例）
   sudo apt-get install auditd audispd-plugins
   
   # 安裝auditd（以CentOS/RHEL為例）
   sudo yum install audit
   

2. 配置auditd： 編輯/etc/audit/auditd.conf文件，確保以下配置：

   log_format RAW
   write_logs yes
   log_file /var/log/audit/audit.log
   

3. 創建日志目錄并設置權限：

   sudo mkdir -p /var/log/audits
   sudo chown root:adm /var/log/audits
   sudo chmod 750 /var/log/audits
   

4. 啟動并啟用auditd服務：

   sudo systemctl start auditd
   sudo systemctl enable auditd
   

5. 添加審計規則： 編輯/etc/audit/rules.d/audit.rules文件，添加你需要的審計規則。

   -a exit,always -F arch b32 -S execve -k execve_audit
   -a exit,always -F arch b64 -S execve -k execve_audit
   

6. 重新加載auditd配置：

   sudo ausearch --load
   

監控和分析日志

1. 使用ausearch和aureport工具： 使用ausearch查詢日志，使用aureport生成報告。

   sudo ausearch -k execve_audit
   sudo aureport -k execve_audit
   

定期備份和清理日志

1. 備份日志： 定期備份日志文件，以防止日志文件過大。

   sudo cp /var/log/audit/audit.log /var/log/audit/audit.log.bak
   

2. 清理舊日志： 使用logrotate工具來自動清理舊日志。

   sudo cp /etc/logrotate.d/audit /etc/logrotate.d/audit.conf
   

通過以上步驟，你可以使用Syslog和auditd實現詳細的日志審計功能，幫助你監控和分析系統活動。