用Syslog 记录UNIX和Windows日志的方法
在比较大规模的网络应用或者对安全有一定要求的应用中,通常需要对系统的日志进行记录分类并审核,默认情况下,每个系统会在本地硬盘上记录自己的日志,这样虽然也能有日志记录,但是有很多缺点： 因此,在网络中安排一台专用的日志服务器来记录系统日志是一个比较理想的方案.本文以FreeBSD下的syslog为例,介绍如何利用freebsd的syslogd来记录来自UNIX和windows的log信息. 一、记录UNIX类主机的log信息 在/etc/rc.conf中加入： syslogd_flags="-4 -a 0/0:*" 说明：freebsd的syslogd参数设置放在/etc/rc.conf文件的syslogd_flags变量中 Freebsd对syslogd的默认设置参数是syslogd_flags="-s",(可以在/etc/defaults/rc.conf中看到) 默认的参数-s表示打开UDP端口监听,但是只监听本机的UDP端口,拒绝接收来自其他主机的log信息.如果是两个ss,即-ss,表示不打开任何UDP端口,只在本机用/dev/log设备来记录log. 修改后的参数说明： -4 只监听IPv4端口,如果你的网络是IPv6协议,可以换成-6 -a 0/0:* 接受来自所有网段所有端口发送过来的log信息. 如果只希望syslogd接收来自某特定网段的log信息可以这样写：-a 192.168.1.0/24:* -a 192.168.1.0/24:514或者-a 192.168.1.0/24表示仅接收来自该网段514端口的log信息,这也是freebsd的syslogd进程默认设置,也就是说freebsd在接收来自其他主机的log信息的时候会判断对方发送信息的端口,如果对方不是用514端口发送的信息,那么freebsd的syslogd会拒绝接收信息.即,在默认情况下 在参数中加入*,表示允许接收来自任何端口的log信息.这点,在记录UNIX类主机信息的时候感觉不到加不加有什么区别, 修改好syslogd参数后,我们需要修改一下/etc/syslog.conf文件,指定log信息的存放路径, 比如你要记录其他系统的远程登陆登出信息并指定日志存放路径,则需要修改以下行： authpriv.* /var/log/testlog 这表示把系统的登入登出日志(包括本机系统登陆登出日志)存放到/var/log/testlog文件中. 当然,这是最简陋的做法,
authpriv.* |/var/log/filter_log.sh 在记录目标前面加上“|”表示把接收到的信息交给后面的程序处理,这个程序可以是一个专门的日志处理软件,也可以是一个自己编写的小的脚本,举例： #!/bin/sh read stuff SERVER=`echo $stuff |awk ‘{print $4}’` echo $stuff >> /var/log/login_log/$SERVER.log 这个简单的脚本以IP作为分类依据,先用read读取log信息,用awk取出第四字段(即IP地址或者主机名所在的字段),以该字段为文件名存放该主机的日志. 这样一来,来自192.168.1.1的log会记录 |
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
是管理不便,当服务器数量比较多的时候,登陆每台
：远程IP的514端口 发送到本地IP的514,
UNIX类主机都是用514端口发送和接收syslog信息的.但是在接收windows信息的时候就非常重要了.
