Ubuntu syslog日志审计实践

在Ubuntu系统中，Syslog服务是用于收集、处理和转发系统日志的重要工具，通过它可以记录系统和应用发生的事件，帮助排错和分析使用。以下是关于Ubuntu syslog日志审计实践的一些关键步骤和最佳实践：

配置Syslog服务

1. 安装Syslog服务： 确保Syslog服务已安装。在Ubuntu中，通常使用rsyslog作为Syslog服务。

sudo apt-get update
sudo apt-get install rsyslog

2. 编辑Syslog配置文件： 打开Syslog配置文件，通常位于 /etc/rsyslog.conf。

sudo nano /etc/rsyslog.conf

3. 配置日志文件存储位置和日志级别： 在配置文件中，定义日志消息的来源和目的地。例如，将所有错误和警告消息保存到 /var/log/syslog 文件中。

*.err /var/log/syslog
*.warn /var/log/syslog

4. 配置日志转发： Syslog可以将日志信息转发到远程服务器。例如，将所有日志转发到远程Syslog服务器。

*.* @remote_syslog_server:514

5. 保存并关闭配置文件，然后重启Syslog服务以使配置生效。

sudo systemctl restart rsyslog

日志审计特定配置

1. 记录sudo命令日志： 通过配置 /etc/sudoers 文件，可以记录使用sudo命令的用户操作。

sudo visudo

在 /etc/sudoers 文件中添加以下行：

Defaults logfile /var/log/sudo.log

2. 配置Syslog记录sudo日志： 在 /etc/rsyslog.conf 文件中添加以下行，将sudo日志记录到指定文件。

local2.debug /var/log/sudo.log

3. 重启Syslog服务以应用配置。

sudo systemctl restart rsyslog

安全策略和加固措施

1. 用户和权限管理： 合理配置用户账户以及控制访问权限，避免使用root用户登录，使用普通用户账户，并根据需要为用户授予必要的权限。
2. 系统更新与补丁管理： 及时更新系统和安装安全补丁，以防止系统被攻击。

sudo apt update && sudo apt upgrade

3. 网络安全设置： 配置防火墙以过滤网络流量，防止未经授权的访问。Ubuntu使用ufw作为默认的防火墙工具。

sudo ufw allow ssh
sudo ufw enable

4. 使用日志监控工具： 使用日志分析工具（如Logwatch）来自动分析日志并生成报告。

sudo apt install logwatch
sudo logwatch --output mail

监控和分析日志

1. 使用 journalctl 命令查看日志： journalctl 是一个用于查询和显示systemd日志的命令行工具。

# 查看所有日志
journalctl

# 查看特定服务的日志
journalctl -u ssh

# 查看特定时间段的日志
journalctl --since "2023-08-01" --until "2023-08-02"

# 实时查看日志
journalctl -f

2. 使用 grep 命令搜索特定关键词：

grep "error" /var/log/syslog

3. 使用 awk、sed 等文本处理工具进行高级分析：

grep "error" /var/log/syslog | awk '{print 1}' | cut -d'-' -f1 | sort | uniq -c | sort -nr

4. 使用日志分析工具： 有许多第三方日志分析工具可以帮助你更方便地分析syslog日志，例如ELK（Elasticsearch、Logstash、Kibana）堆栈、Graylog等。这些工具通常提供图形化界面，可以让你更容易地搜索、过滤和分析日志数据。

定期备份和清理日志

为了防止日志文件过大，可以定期备份和清理日志文件。

1. 备份日志：

sudo cp /var/log/audit/audit.log /var/log/audit/audit.log.bak

2. 清理旧日志： 可以使用 logrotate 工具来自动清理旧日志。

sudo nano /etc/logrotate.d/audit

添加以下内容：

/var/log/audit/*.log {
    daily
    rotate 7
    missingok
    notifempty
    compress
    delaycompress
    sharedscripts
}

然后重启 logrotate 服务：

sudo systemctl restart logrotate

通过以上步骤，你可以在Ubuntu系统中配置Syslog服务以实现日志审计，并采取相应的安全策略和加固措施，提高系统的整体安全性。