基于syslog―ng集中式日志服务器及其客户端配置方法.docVIP

基于syslog―ng集中式日志服务器及其客户端配置方法 　　摘要：集中式日志服务器是网络安全管理的重要组成部分，在发现黑客入侵、留存系统运行信息、进行帐号行为的记录和审计等方面具有不可替代的作用。文章提供了windows、Unix和linux操作系统及cisco和华为网络设备日志客户端配置样例；并通过在aix和linux添加shell脚本文件，解决了aix日志未记录成功登录服务器的事件以及aix和linux操作系统不能将帐号操作命令传送到集中式日志服务器的问题。 　　关键词：syslog-ng 日志 安全管理 配置 历史命令 　　中图分类号：TP311 文献标识码：A 文章编号：1007-9416（2014）04-0168-02 　　1 引言 　　集中式日志服务器在对黑客入侵进行记录、跟踪和追溯，对各种操作系统和网络设备的帐号进行审计（1）；留存系统运行状况和设备故障信息等方面都发挥非常重要的作用（2）。如果不能解决采集各种操作系统和网络设备日志客户端的配置方法问题，就不能系统而全面地保留各种操作系统和网络设备产生的日志，同时如何在基本不对系统运行造成影响的情况下，能对操作系统的帐号操作行为进行记录也没有现成的解决方案。 　　2 日志服务器架构设置 　　日志服务器中采用syslog-ng作为日志接收和记录的工具便于进行各种设备操作系统日志的分拣和管理。而在日志系统客户端，对使用syslog-ng作为日志工具的系统，每个系统分配不同的udp端口；对只使用udp 514端口的设备，不分配专用端口。这样，服务器生成按照设备文件--年文件夹--月文件夹-- auth.log、user.log和cron.log等日志文件。 　　3 日志服务器的配置 　　文章在suse10操作系统日志服务器端配置如下： 　　（1）在 syslog.conf中添加： 　　SYSLOGD_PARAMS=-r -s 0 　　（2）在/etc/syslog-ng/syslog-ng.conf中加入 　　options {sync （0）； time_reopen （10）； log_fifo_size （1000）； long_hostnames （off）； 　　use_fqdn（yes）； chain_hostnames（off）； keep_hostname（yes）； 　　stats（43200）； create_dirs（yes）；}； 　　（3）对客户端使用syslog-ng日志工具的系统，根据端口号进行相关配置；如配置一个属主帐号test，用户组loggroup，系统日志文件夹名称为loggercaiji1，使用udp6514端口号接受日志信息的配置方式如下： 　　source s_ loggercaiji1 {udp（ ip（） port（6514） ）；}； 　　destination d_ loggercaiji1 　　{file（/home/test/ loggercaiji1/$HOST/$YEAR/$MONTH/$FACILITY.log 　　owner（test） 　　group（loggroup） 　　perm（0750） 　　dir_perm（0750） 　　create_dirs（yes））； }； 　　log { source（s_ loggercaiji1）； destination（d_ loggercaiji1）； }； 　　该配置会在home目录的test目录中产生2中所述的日志文件样式。 　　（4）对客户端只能使用udp514端口的系统，统一采用一个文件夹存放采集到的日志。配置方式如下： 　　source s_514 {udp（ ip（） port（514） ）；}；（ destination的配置与3.3相似。） 　　4 客户端设备配置 　　4.1 AIX系统日志客户端配置方法 　　（1）在/etc/profile配置如下数据 　　export TTY=`/usr/bin/tty` 　　export USER=`who -u am i 2/dev/null| awk {print $1}` 　　export USER_IP=`who -u am i 2/dev/null| awk {print $NF}|sed -e s/[（）]//g` 　　export HISTDATEFMT=%F-%T 　　logger -p $USER_IP $USER $LOGNAME $TTY` 　　（2）编写用户操作命令传送shell脚本其相关脚本的流程图如图1： 　　（3）发送到日志服务器的历史命令格式如下： 　　登录帐号 执行命令时的帐号 命令编