Linux日志审计#

1
内核及系统日志
2
✓由系统syslog统一进行管理，日志格式基本相似
3
用户日志
4
✓记录系统用户登录及退出系统的相关信息
5
程序日志
6
✓由各种应用程序独立管理的日志文件，记录格式不统一（如http）

1
用于记录系统、程序运行中发生的各种事件
2
通过阅读日志，有助于诊断和解决系统故障

1
vim /etc/rsyslog.conf
2
 authpriv.*    [服务名].[日志级别]
3

4
日志消息的级别
5
0 EMERG（紧急）：会导致主机系统不可用的情况
6
1 ALERT（警告）：必须马上采取措施解决问题
7
2 CRIT（严重）：比较严重的情况
8
3 ERR（错误）：运行出现错误
9
4 WARNING （提醒）：可能会影响系统功能的事件
10
5 INFO（信息）：一般信息
11
6 DEBUG（调试）：程序或系统调试信息等

1
tail 文件名  //查看文件末尾10行内容（默认）
2
tail -n 30 文件名    //查看文件末尾30行内容
3
tail -f 文件名    //输出文件末尾行，当文件有追加时，会输出后续添加的行，不中断输出，除非ctrl+c中断
4
tail -f file.log | grep “关键字”  //输出文件末尾包含关键字的行，当文件有追加时，会输出后续添加的行，不
5
中断输出，除非ctrl+c中断
6

7
tail -n 100 file.log | grep “关键字”  # 输出文件的后100行中包含的关键字的行（-n 100即 –lines=100）
8
tail -n 100 file.log | grep “关键字” -A10  # 输出文件的后100行中包含关键字的行和该行的后10行
9
tail -n 100 file.log | grep “关键字” -B10  # 输出文件的后100行中包含关键字的行和该行的前10行
10
tail -n 100 file.log | grep “关键字” –B10-A10  # 输出文件的后100行中包含关键字的行和该行的前后10行

1
日志记录的一般格式
2
Jan 27 02:37:19 OS5 sshd[3120]: Accepted password for zf from 192.168.81.1 port 51674 ssh2
3
    时间标签     主机名   子系统    消息字段

1
◼保存了用户登录、退出系统等相关信息
2
/var/log/lastlog：最近的用户登录事件
3
/var/log/wtmp:用户登录、注销及系统开、关机事件
4
/var/log/utmp：当前登录的每个用户的详细信息
5
/var/log/secure：与用户验证相关的安全性事件
6
◼分析工具
7
users、who、w、last、lastb
8

9
last --- 用户登录成功 --- wtmp
10
lastb --- 用户登录失败 --- btmp
11

12
/var/log/btmp 记录错误登录日志，这个文件是二进制文件，不能直接vi查看，而要使用lastb命令查看
13
/var/log/lastlog 记录系统中所有用户最后一次登录时间的日志，这个文件是二进制文件，不能直接vi，而要使用lastlog命令查看
14
/var/log/wtmp 永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件，不能直接vi，而需要使用last命令来查看
15
/var/log/utmp 记录当前已经登录的用户信息，这个文件会随着用户的登录和注销不断变化，只记录当前登录用户的信息。同样这个文件不能直接vi，而要使用w,who,users等命令来查询

1
★/var/log/secure 记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如SSH登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中

1
yum -y install httpd  //安装服务
2
systemctl start httpd  //启动服务
3

4
默认网页根目录：/var/www/html
5
日志位置：/var/log/httpd
6
access_log，error_log

1
◼ 由相应的应用程序独立进行管理
2
Web服务：/var/log/httpd
3
✓ access_log、error_log
4
代理服务：/var/log/squid
5
✓ access.log、cache.log
6
FTP服务：/var/log/xferlog
7
◼ 分析工具
8
文件查看、grep过滤检索、Webmin管理套件中查看
9
awk、sed等文本过滤、格式化编辑工具
10
Webalizer、Awstats等专用日志分析工具

1
★/var/log/message 记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大多数重要信息，如果系统出现问题时，首先要检查的就应该是这个日志文件
2
/var/log/boot.log -> 包含系统启动时的日志
3
/var/log/utmp -> 包含登录退出信息
4
/var/log/secure -> 包含验证和授权信息
5
/var/log/dpkg.log -> 包含安装或dpkg命令清除软件包的日志
6
/var/log/kern.log -> 包含内核产生的日志，有助于在定制内核时解决问题
7
/var/log/Xorg.x.log -> 来自X的日志信息
8
/var/log/alternatives.log -> 更新替代信息都记录在这个文件中
9
/var/log/cups -> 涉及所有打印信息的日志
10
/var/log/anaconda.log -> 在安装Linux时，所有安装信息都储存在这个文件中
11
/var/log/yum.log -> 包含使用yum安装的软件包信息
12
/var/log/cron -> 每当cron进程进行一个工作，就会将相关信息记录在此文件中
13
/var/log/dmesg 记录了系统在开机时内核自检的信息，也可以使用dmesg命令直接查看内核自检信息
14
/var/log/mailog 记录邮件信息
15

16
内核及公共消息日志 • /var/log/messages
17
计划任务日志 • /var/log/cron
18
系统引导日志 • /var/log/dmesg
19
邮件系统日志 • /var/log/maillog
20
用户登录日志
21
• /var/log/lastlog
22
• /var/log/secure
23
• /var/log/wtmp
24
• /var/log/btmp

1
日志记录的一般格式
2
Jan 27 02:37:19 OS5 sshd[3120]: Accepted password for zf from 192.168.81.1 port 51674 ssh2
3
    时间标签     主机名   子系统    消息字段

1
vi /etc/rsyslog.conf
2
*.* @@remote-host:514
3
服务.级别
4
@@ --- TCP
5
@ --- UDP
6
remote-host：接收日志的IP地址
7
authpriv.* @@20.20.20.1:514
8

9
systemctl restart rsyslog

1
vi /etc/rsyslog.conf
2
:fromhost-ip,isequal,"外发日志的IP"/var/log/CLIENT/20.20.20.2.log
3

4
fromhost-ip：从哪个IP接收日志
5
isequal：包含信息
6

7
systemctl restart rsyslog