Архив на всички логове автоматично
Съм настройка Syslog-НГ архив трупи, за да хост-специфични директории в / Var / дневник / хостове в централната ми loghost. По този начин стандарт UNIX инструменти като намерите и Впиши може да се използва за дневника разбор и го от време или от приемащите. За да Впиши срещу лог файлове за всички хостове на 8 ноември, 2001 г., което мога да направя това:
$ grep hacker /var/log/HOSTS/*/2001/11/08/*
… И аз може просто да преминава през всички трупи за домакин намерите или “Впиши-R”, тъй като всички дневници за един хост са в една структура на директория.
Ето Syslog ng.conf директиви за архивиране на начина, по който съм го направил:
destination hosts {
file("/var/log/HOSTS/$HOST/$YEAR/$MONTH/$DAY/$FACILITY$YEAR$MONTH$DAY"
owner(root) group(root) perm(0600) dir_perm(0700) create_dirs(yes));
};
log {
source(src);
destination(hosts);
};
Email някои греди
С това можете да съответстват на съдържанието на съобщението (в този случай низа “attackalert”) и да ги изпратите по пощата. В Syslog-ng.conf:
дестинация поща сигнал Perl {програма ("/ ЮЕсАр / местни / BIN / Syslog-поща Perl");};
filter f_attack_alert {
match("attackalert");
};
# find messages with "attackalert" in them, and send to the mail-alert script
log {
source(src);
filter(f_attack_alert);
destination(mail-alert-perl);
};
Използвайте този Perl скрипт, който да смъкне приоритета на съобщението (което аз открихме, за да бъде безполезно и само clutters до съобщението) и
поща:
Внимание:
Преди да поставите на мястото автоматично известяване за електронна поща - запитайте се дали това е възможно да се генерират стотици или дори хиляди от тези лог съобщения. Какво ще се случи с вашия имейл сървър? Бихте ли дори да виждате никакви други сигнали, ако сте изтриване на стотици или хиляди на
едно съобщение?
Сложете в някои throtting преди вас настройка автоматично изпращане на електронни писма (можете да използвате скрипт " Баш-мейл предупреждение "от секцията мостра ). Това е голямо пространство за DoS, така че си гледай.
Input всички трупи на MySQL база данни
Започнах да поставят в база данни за по-гъвкави заявки, с помощта на SQLSyslogd, написана от Пшемислав Frasunek, можете
да намерите
на адрес: http://www.frasunek.com/sources/security/sqlsyslogd/.
Харесва ми като SQL на мое разположение, когато имам нужда от много специфична информация от моите дневници.
Можете да тръба sqlsyslogd с линия, като това:
destination sqlsyslogd {
program("/usr/local/sbin/sqlsyslogd -u sqlsyslogd -t logs sqlsyslogd -p");
};
log {
source(src);
destination(sqlsyslogd);
};
"SRC" в този случай е на всички входящи съобщения, няма филтриране на съобщения. Вие все още трябва да настроите вашата база данни, в съответствие с инструкциите за sqlsyslogd. Документи, които идват с нея.
|
