Rsyslog小百科之操作記錄日志審計(jì)開啟

IT那活兒發(fā)布于2023-01-11 13:20 / 3798人閱讀

點(diǎn)擊上方“IT那活兒”，關(guān)注后了解更多精彩內(nèi)容！?。?/span>

日志系統(tǒng)的重要性

在一個(gè)健全的應(yīng)用系統(tǒng)中，日志系統(tǒng)是一個(gè)非常重要的組成部分。日志系統(tǒng)可以記錄下系統(tǒng)產(chǎn)生的所有行為，能夠在系統(tǒng)異常時(shí)給運(yùn)維人員指明方向，能夠使運(yùn)維人員及時(shí)排錯(cuò)，優(yōu)化系統(tǒng)。因此在一個(gè)完整的系統(tǒng)中，日志是非常重要的。

在安全的領(lǐng)域中，安全系統(tǒng)需要記錄在服務(wù)器上面的所有操作，同時(shí)對(duì)這些操作的危險(xiǎn)性進(jìn)行評(píng)估，并發(fā)送出對(duì)應(yīng)的告警。同時(shí)如果系統(tǒng)中有任何組件異常也可以從操作歷史命令中發(fā)現(xiàn)異常。因此，主機(jī)系統(tǒng)的操作日志也在日志系統(tǒng)中有著舉足輕重的地位。

因此，今天我們通過rsyslog服務(wù)來開啟系統(tǒng)操作日志的記錄。

Rsyslog服務(wù)

rsyslog服務(wù)是一個(gè)syslog的多線程增強(qiáng)版，提供了高性能,極好的安全功能和模塊化設(shè)計(jì)。同時(shí)支持不同服務(wù)器中的日志轉(zhuǎn)發(fā)，因此，使用rsyslog搭建系統(tǒng)操作記錄日志中轉(zhuǎn)平臺(tái)是首選。

操作開始

首先，在進(jìn)行操作前，需要先了解rsyslog服務(wù)中的local0-7的用法。Local0-7日志為rsyslog服務(wù)提供的共用戶使用的自定義日志，我們只需要將操作日志自定義存儲(chǔ)到local0-7日志中的一部分，即可對(duì)日志進(jìn)行轉(zhuǎn)發(fā)等配置。

其次，在進(jìn)行操作日志記錄的配置的時(shí)候，我們需要先確定一點(diǎn)，我們?cè)谌罩局行枰裁葱畔?。我們首先需要的是最基本的，操作的命令和操作命令?duì)應(yīng)的時(shí)間。其次，目前大部分服務(wù)器都是通過遠(yuǎn)程了連接的方式登錄，因此獲取遠(yuǎn)程操作此服務(wù)起的主機(jī)ip也就至關(guān)重要了。然后，在日常操作中，我們操作的命令并不一定是全路徑，因此獲取執(zhí)行操作是的路徑也非常重要。最后就是獲取主機(jī)的IP。

分析完畢后，我們可以發(fā)現(xiàn)，前面幾項(xiàng)都可以通過格式化history命令來實(shí)現(xiàn)，最后一項(xiàng)則需要自己編寫命令來獲取主機(jī)IP。

接下來，就開始正式操作。第一個(gè)難題，我們?nèi)绾稳ビ涗涍@些命令呢，我首先想到的方案是編寫腳本實(shí)時(shí)運(yùn)行在主機(jī)上。但是此條直接被我pass掉。先不說是否對(duì)主機(jī)性能存在影響，但是每臺(tái)服務(wù)器都需要維護(hù)，就是一大維護(hù)工作量。因此最好將這些東西集成到系統(tǒng)中。然后我就想到了既然能夠在環(huán)境變量的配置文件格式化歷史命令，那么我能不能嘗試在環(huán)境變量中測(cè)試腳本呢?

因此，我編寫了一個(gè)簡單的腳本，通過這個(gè)腳本可以及時(shí)記錄這些操作命令的相關(guān)信息，并將其記錄到rsyslog服務(wù)的local4.info日志中。這個(gè)腳本簡單易懂，一目了然。