Linux syslog怎样进行日志审计

在Linux系统中，Syslog是一种用于记录系统消息和错误的日志机制，通过它可以监控系统活动、检测异常行为以及满足合规性要求。以下是如何使用Syslog进行日志审计的详细步骤：

配置Syslog服务

1. 安装Syslog服务： 确保你的系统已经安装并配置了Syslog服务。常见的Syslog服务有rsyslog和syslog-ng。

   # 安装rsyslog（以Debian/Ubuntu为例）
   sudo apt-get update
   sudo apt-get install rsyslog
   
   # 安装syslog-ng（以CentOS/RHEL为例）
   sudo yum install syslog-ng
   

2. 编辑Syslog配置文件： 编辑Syslog配置文件（如/etc/rsyslog.conf或/etc/syslog-ng/syslog-ng.conf），添加日志记录规则。

   rsyslog示例配置：

   # 定义审计日志文件
   local0.* /var/log/audit.log
   
   # 设置日志级别和设施
   auth,authpriv.* /var/log/audit.log
   

   syslog-ng示例配置：

   destination d_audit { file("/var/log/audit.log"); };
   
   filter f_audit { facility(auth) or facility(authpriv); };
   
   log { source(s_src); destination(d_audit); };
   

3. 重启Syslog服务： 应用配置更改后，重启Syslog服务以使更改生效。

   sudo systemctl restart rsyslog
   # 或
   sudo systemctl restart syslog-ng
   

配置审计守护进程（auditd）

1. 安装auditd： 在大多数Linux发行版中，auditd已经预装。如果没有，可以使用包管理器安装。

   # 安装auditd（以Debian/Ubuntu为例）
   sudo apt-get install auditd audispd-plugins
   
   # 安装auditd（以CentOS/RHEL为例）
   sudo yum install audit
   

2. 配置auditd： 编辑/etc/audit/auditd.conf文件，确保以下配置：

   log_format RAW
   write_logs yes
   log_file /var/log/audit/audit.log
   

3. 创建日志目录并设置权限：

   sudo mkdir -p /var/log/audits
   sudo chown root:adm /var/log/audits
   sudo chmod 750 /var/log/audits
   

4. 启动并启用auditd服务：

   sudo systemctl start auditd
   sudo systemctl enable auditd
   

5. 添加审计规则： 编辑/etc/audit/rules.d/audit.rules文件，添加你需要的审计规则。

   -a exit,always -F arch b32 -S execve -k execve_audit
   -a exit,always -F arch b64 -S execve -k execve_audit
   

6. 重新加载auditd配置：

   sudo ausearch --load
   

监控和分析日志

1. 使用ausearch和aureport工具： 使用ausearch查询日志，使用aureport生成报告。

   sudo ausearch -k execve_audit
   sudo aureport -k execve_audit
   

定期备份和清理日志

1. 备份日志： 定期备份日志文件，以防止日志文件过大。

   sudo cp /var/log/audit/audit.log /var/log/audit/audit.log.bak
   

2. 清理旧日志： 使用logrotate工具来自动清理旧日志。

   sudo cp /etc/logrotate.d/audit /etc/logrotate.d/audit.conf
   

通过以上步骤，你可以使用Syslog和auditd实现详细的日志审计功能，帮助你监控和分析系统活动。