Debian syslog如何审计

在Debian系统中，Syslog的审计可以通过多种方式进行，以确保系统的安全性和可追溯性。以下是一些关键的配置步骤和方法：

配置Syslog以发送日志到远程服务器

• 编辑Syslog配置文件：打开 /etc/rsyslog.conf 文件，添加如下行以将所有系统日志发送到远程服务器：

  *.* action(type="ommysql" server="example.com" db="syslog" uid="root" pwd="password")
  

  其中，example.com 是远程服务器的地址，db="syslog" 指定使用Syslog数据库，uid 和 pwd 分别是远程服务器的用户名和密码。

• 重启Syslog服务：保存配置文件后，重启Syslog服务以应用更改：

  sudo systemctl restart rsyslog
  

使用Auditd进行更详细的审计

• 安装和配置Auditd：Auditd是Linux的审计守护进程，可以记录系统调用和文件访问等详细信息。

  sudo apt-get install auditd audispd-plugins
  

• 配置Auditd规则：编辑 /etc/audit/rules.d/audit.rules 文件，添加审计规则，例如记录所有用户执行的命令：

  -a always,exit -S execve
  

• 重启Auditd服务：应用规则后，重启Auditd服务：

  sudo service auditd restart
  

查看Syslog日志

• 使用journalctl命令：这是systemd的日志服务命令行工具，可以显示系统日志的实时滚动记录。

  journalctl -b  # 显示自系统启动以来的日志
  journalctl -f  # 实时显示新日志
  

• 查看日志文件：Syslog日志通常位于 /var/log/syslog，可以使用以下命令查看：

  cat /var/log/syslog
  less /var/log/syslog
  

注意事项

• 权限设置：确保只有特定的用户和组可以访问和修改日志文件，以保护系统安全。

  sudo chown root:syslog /var/log/syslog
  sudo chmod 640 /var/log/syslog
  

• 日志级别：根据需求调整日志级别，以记录必要的信息。例如，将日志级别设置为 debug 以获取更详细的日志信息。

  *.* /var/log/syslog & stop:msg, contains, "error" -/var/log/syslog & start
  

通过上述配置，您可以有效地审计Debian系统中的Syslog日志，从而提高系统的安全性和可追溯性。