【日志审计与分析】Linux日志收集

提示:文章写完后,目录可以自动生成,如何生成可参考右边的帮助文档

文章目录

  • 实验目的:
  • 实验环境:
    • 1.安装
    • 2.测试
  • 前情提要
  • 一、配置rsyslog服务器
  • 二、配置rsyslog客户端
  • 三、验证rsyslog配置


实验目的:

1、掌握rsyslog配置方法
2、配置rsyslog服务收集其他Linux服务器日志

实验环境:

1.安装

linux_Centos7虚拟机两台,一台作为客户端,一台作为服务器端。
虚拟机安装可以参考:安装Linux实验环境与了解centOS系统日志,注意在同一时刻一个镜像文件只能被一台虚拟机独占,不过不在同一时刻的话任意的虚拟机都能打开。
因此之前如果下载过centOS7的iso镜像文件,无需再次下载,但需要复制一下,然后创建虚拟机引用复制的文件即可。

2.测试

查看两台虚拟机的ip并使其能相互ping通:

ifconfig
ping

服务器ip:192.168.119.140
客户端ip: 192.168.119.142
【日志审计与分析】Linux日志收集_第1张图片

【日志审计与分析】Linux日志收集_第2张图片

互相ping通:
【日志审计与分析】Linux日志收集_第3张图片

【日志审计与分析】Linux日志收集_第4张图片

前情提要

rsyslog是一个开源工具,被广泛用于Linux系统,它的作用是通过TCP/UDP协议转发或接收日志消息。rsyslog守护进程可以被配置成两种环境,一种是配置成日志收集服务器,即从网络中收集其它主机上的日志数据,这些主机会被配置为将日志发送到另外的远程服务器。另一种环境是配置为客户端,用来过滤和发送内部日志消息到本地文件夹(如/var/log)或一台可以路由到的远程rsyslog服务器上。在这种环境下,假定网络中已经有一台已经配置好并启动的rsyslog服务器,系统可以将其内部日志消息路由到一台远程rsyslog服务器上,这将大大改善系统磁盘空间的使用,尤其是当系统没有一个用于/var目录的独立的大分区。

一、配置rsyslog服务器

①在CentOS 7上,rsyslog守护进程已经预先安装了。要验证rsyslog是否已经安装,请执行如下命令:

rpm -qa | grep rsyslog
rsyslogd -v 

【日志审计与分析】Linux日志收集_第5张图片

②确定rsyslog服务器IP地址:192.168.122.1

ifconfig

【日志审计与分析】Linux日志收集_第6张图片

③修改rsyslog服务器配置文件:

vim /etc/rsyslog.conf

将部分#号删除(i进入插入模式,修改后esc退出插入模式),保存退出(:wq保存并退出):

# Provides UDP syslog reception
$ModLoad imudp #删
$UDPServerRun 514 #删

# Provides TCP syslog reception
$ModLoad imtcp #删
$InputTCPServerRun 514 #删

删除前两行的注释会使得rsysolog守护进程能够在UDP端口514上接受日志消息了,UDP比TCP速度快,但是并不具有TCP一样的对数据流的可靠性。所以如果需要使用可靠的传送机制,就可以通过取消后两行的注释实现。
需要注意的是,TCP和UDP可以被同时生效来监听TCP/UDP 连接,此处就采用这种方式。

【日志审计与分析】Linux日志收集_第7张图片

④重启rsyslog服务:

systemctl restart rsyslog.service

二、配置rsyslog客户端

①查看rsyslog守护进程是否已经安装,执行如下命令:

rpm -qa | grep rsyslog
rsyslogd -v 

配置前提:所有Linux均默认安装rsyslog服务。
【日志审计与分析】Linux日志收集_第8张图片

②修改rsyslog客户端配置文件:
输入命令:

vim /etc/rsyslog.conf

在文件最底部添加以下配置(i进入插入模式,修改后esc退出插入模式)后,保存退出(:wq保存并退出):

*.*@192.168.122.1
*.*@@192.168.122.1

第一行的声明告诉rsyslog守护进程,将系统上各个设备的各种日志消息路由到远程rsyslog服务器(192.168.122.1)的UDP端口514。如果出于某种原因,需要更为可靠的协议,如TCP,rsyslog服务器也可以被配置为监听TCP连接,此时须在远程主机的IP地址前添加一个额外的@字符,如第二行。
【日志审计与分析】Linux日志收集_第9张图片

③重启rsyslog服务:

systemctl restart rsyslog.service

三、验证rsyslog配置

登录服务器端,打开/var/log/secure文件,查看服务器是否能收集到客户机日志。正常收集后,应该能看到客户机登录日志。

①重新登录客户端:
【日志审计与分析】Linux日志收集_第10张图片

②查看服务器的/var/log/secure文件,可以查看到客户机登录日志,实验成功:
【日志审计与分析】Linux日志收集_第11张图片

你可能感兴趣的:(日志分析,日志审计与分析)