1023.990天:Linux CentOS 7搭建日志服务器

1023.990天:Linux CentOS 7搭建日志服务器,第1张

#每日三件事,第990天#

      《中华人民共和国网络安全法》第二十一条第一款第三项规定网络运营者应采取监测、记录网络运行状态、网络安全事件的技术措施,并按照规定留存相关的网络日志不少于六个月。在GB/T22239《网络安全等级保护基本要求》的安全计算环境中,对安全审计也有明确的要求。

      在落实法律义务和责任,开展网络安全等级保护工作的过程中,日志服务器成了必不可少的一项。商用的日志审计系统固然好,但利用CentOS7也可以做一个简单的日志服务器,收集网络中其他设备的日志信息。

日志服务器端的配置:

yum install syslog,其实CentOS7默认就已经安装了rsyslog服务。系统会自动检测,并不会重新安装一遍syslog服务。

vim /etc/rsyslog.conf,找到#Providers TCP syslog reception这一行,把下面两行前面的#去掉即可:

#Providers TCP syslog reception

$ModLoad imtcp

$InputTCCPServerRun 514

======分割线 ======

在/etc/rsyslog.d/创建一个名为client_ip.conf的文件,每个日志发送客户端创建一个文件。我的实验环境中有一个ip为192.168.1.1的客户端,因此创建一个192.168.1.1.conf的文件。

vim /etc/rsyslog.d/192.168.1.1.conf

:fromhost-ip,isequal, "192.168.1.1" /var/log/client/192.168.1.1.log

systemctl restart rsyslog

重启之后一定要检查一下,使用命令:systemctl status rsyslog,并且保证rsyslog服务能够在开机时自动启动。

客户端的配置如下:

vim  /etc/rsyslog.conf,去掉#Providers TCP syslog reception下面两行的注释:

#Providers TCP syslog reception

$ModLoad imtcp

$InputTCCPServerRun 514

在最后一行添加:

*.*. @@192.168.1.10:514

其中192.168.1.10是日志服务器的IP地址。

systemctl restart rsyslog,并查看rsyslog的状态,保证服务在开机时自动启动。

此时在日志服务器上就可以接收到客户端发来的日志信息了。

市面上的路由器品牌很多。以飞鱼星路由器为例进行说明:

具体配置步骤:

(1)开启系统日志服务器功能

点开《路由器的系统状态》系统日志,启用“系统日志服务器”,并启用“日志服务器”,输入对应日志服务器的IP地址。

启用系统日志服务,便可在《路由器的系统状态》系统日志中查看路由器的常见系统更改。

以内网192.168.1.3的计算机作为日志服务器,则需要在这台计算机上安装VE日志分析软件,之后便可在此PC机上看见内网用户所浏览网址。

(2)安装数据库

下载MYSQL数据库,官方下载地址:http://www.mysql.com/downloads/

安装数据库,设置密码、端口号。

(3)运行“飞鱼星日志系统(VLS)”

“飞鱼星日志系统(VLS)”及具体使用方法请到http://www.adslr.com/down/文件下载中心,找到设备对应型号进行下载,下载后解压运行Volans log system.exe,输入数据库的密码、端口号(服务器IP、用户名不用修改),即可运行,并自动连接获取日志。

用户如果是初次使用飞鱼星路由器产品,建议用户阅读一下说明书。

日志文件存放目录: /var/log

[root@xing log]# cd /var/log

[root@xing log]# ls

messages:系统日志

secure:登录日志

————————————————

日志管理服务文件: vim /etc/rsyslog.conf

日志记录的日志级别:最不严重 ->最严重

debug, info, notice, warning, warn (same as warning), err, error (same

as err), crit, alert, emerg, panic (same as emerg)

测试提示:

[ming@xing etc]$ logger -p authpriv.emerg "==mingeror=="

[ming@xing etc]$

Message from syslogd@xing at Jul 18 11:00:41 ...

root: ==mingeror==

登录日志的错误信息同步写入 “/var/log/secure ” 文件中

————————————————

日志的异地备份

日志的异地备份至关重要。防止别人拿到你的root权限;用命令:echo "" >/var/log/secure 直接清空你的登录日志。

配置需备份日志的客户机(172.168.0.254):

[root@xing etc]# vim rsyslog.conf

————————————————

配置文件修改:

#*.* @@remote-host:514

authpriv.* @@172.168.0.1:514

————————————————

[root@xing etc]# setenforce 0 //执行setenforce 0 表示 临时关闭 selinux防火墙。

[root@xing etc]# getenforce

Permissive

[root@xing etc]# service rsyslog restart

————————————————

配置日志记录服务器(172.168.0.1):

[root@xing etc]# vim rsyslog.conf

————————————————

开启接收端口模块

# Provides TCP syslog reception

$ModLoad imtcp

$InputTCPServerRun 514

———

配置备份的数据源及日志备份存放文件

:fromhost-ip,isequal,“172.168.0.254” /var/log/client/172.168.0.254.log

————————————————

[root@xing etc]# service rsyslog restart

———————

ss -antpl | grep 514

————————————————

注意:配置成功需关闭双方服务器的防火墙,或者修改防火墙配置。


欢迎分享,转载请注明来源:夏雨云

原文地址:https://www.xiayuyun.com/zonghe/427055.html

(0)
打赏 微信扫一扫微信扫一扫 支付宝扫一扫支付宝扫一扫
上一篇 2023-05-26
下一篇2023-05-26

发表评论

登录后才能评论

评论列表(0条)

    保存