CentOS Syslog日志审计怎么做

在CentOS系统中，Syslog日志审计是一个重要的安全措施，可以帮助系统管理员监控和记录系统活动，发现潜在的安全威胁。以下是通过CentOS Syslog实现日志审计的步骤：

安装和配置Syslog服务

1. 安装Syslog服务：

   sudo yum install rsyslog
   

2. 启动和设置Syslog服务开机自启：

   sudo systemctl start rsyslog
   sudo systemctl enable rsyslog
   

3. 配置Syslog接收远程日志：

   编辑 /etc/rsyslog.conf 文件，添加以下内容以接收远程日志：

   *.* @172.16.248.198:514
   

   修改此处IP为你的日志接收端IP，然后重启Syslog服务以应用更改：

   sudo systemctl restart rsyslog
   

配置审计规则

1. 安装auditd：

   在大多数Linux发行版中，auditd已经预装。如果没有，可以使用包管理器安装：

   sudo yum install audit  # CentOS/RHEL
   

2. 配置auditd：

   编辑 /etc/audit/auditd.conf 文件，确保以下配置：

   log_format = RAW
   write_logs = yes
   log_file = /var/log/audit/audit.log
   

   然后创建日志目录并设置权限：

   sudo mkdir -p /var/log/audit
   sudo chown root:adm /var/log/audit
   sudo chmod 750 /var/log/audit
   

3. 启动并启用auditd服务：

   sudo systemctl start auditd
   sudo systemctl enable auditd
   

4. 添加审计规则：

   编辑 /etc/audit/rules.d/audit.rules 文件，添加你需要的审计规则。例如：

   -a exit,always -F arch=b32 -S execve -k execve_audit
   -a exit,always -F arch=b64 -S execve -k execve_audit
   

   然后重新加载auditd配置：

   sudo augenrules --load
   

监控和分析日志

1. 使用ausearch和aureport工具来监控和分析审计日志：

   安装ausearch和aureport：

   sudo yum install ausearch aureport  # CentOS/RHEL
   

   使用ausearch查询日志：

   sudo ausearch -k execve_audit
   

   使用aureport生成报告：

   sudo aureport -k execve_audit
   

定期备份和清理日志

为了防止日志文件过大，可以定期备份和清理日志文件。

1. 备份日志：

   sudo cp /var/log/audit/audit.log /var/log/audit/audit.log.bak
   

2. 清理旧日志：

   可以使用logrotate工具来自动清理旧日志：

   编辑 /etc/logrotate.d/audit 文件，添加以下内容：

   /var/log/audit/*.log {
       daily
       missingok
       rotate 7
       compress
       notifempty
       create 640 root adm
   }
   

   然后重启logrotate服务：

   sudo systemctl restart logrotate
   

通过以上步骤，你可以使用syslog和auditd实现详细的日志审计功能，帮助你监控和分析系统活动。定期审查和更新日志审计策略，以应对不断变化的安全威胁。