Ders 2.32: rsyslog ve merkezi günlükleme

Günlüğün yanında rsyslog, /var/log'daki klasik metin dosyalarını (auth.log, syslog, kern.log) olanak (facility) ve ağırlık kurallarına göre yazar ve her şeyi merkezi bir günlük sunucusuna iletebilir. Merkezi günlükleme güvenlik için önemlidir: root'u olan bir saldırgan yerel günlükleri temizleyebilir ama çoktan gönderilmiş kopyayı değil; ve soruşturmalar birçok makinenin günlüklerini tek bir yerde ister. Laboratuvarda web02'nin kurallarını okuyor, onları logger ile test ediyor, disk kuyruklu bir TLS iletme kuralı ekliyor, günlüklemeyi bozmadan önce bir sözdizimi hatasını yakalıyor ve rsyslog'u yeniden başlatıyorsun.

16 dk

Bu derste öğreneceklerin

rsyslog kurallarını okumak (olanak.ağırlık → hedef)
Günlüklemeyi logger ile test etmek
Kuyruklu TLS iletme eklemek
Yapılandırmayı rsyslogd -N1 ile doğrulamak
Merkezi günlüklemenin neden önemli olduğunu açıklamak

Temel terimler

Olanak (facility): Bir syslog iletisinin kaynak kategorisi: auth, authpriv, kern, mail, daemon, local0–7…
Seçici: Bir kural için iletileri seçen olanak.ağırlık kalıbı.
omfwd: rsyslog'un iletme çıkış modülü (UDP ya da TCP, isteğe bağlı TLS).
Disk destekli kuyruk: Hedef ulaşılamazken iletileri diskte tamponlar.
SIEM: Güvenlik bilgisi ve olay yönetimi: günlükleri saklayan, arayan ve onlar hakkında uyaran merkezi sistem.

← Argümanlar ve seçenekler · Tüm dersler · Sır saklayan bellek dökümleri →