系统安全审计：Linux日志分析工具syslog-ng配置实战

系统安全审计：Linux日志分析工具syslog-ng配置实战

在Linux系统安全审计中，日志分析是识别潜在威胁和异常行为的关键环节。syslog-ng作为专业的日志管理工具，能够有效收集、处理和转发系统日志。本文将通过具体配置案例，展示如何利用syslog-ng进行安全审计。

基础环境配置

首先安装syslog-ng：

# Ubuntu/Debian
apt-get install syslog-ng

# CentOS/RHEL
yum install syslog-ng

安全日志收集配置

创建配置文件 /etc/syslog-ng/conf.d/security.conf：

# 收集SSH登录日志
filter f_ssh { program("sshd") and not facility(auth); };
destination d_ssh { file("/var/log/security/ssh.log"); };
log { source(s_syslog); filter(f_ssh); destination(d_ssh); };

# 收集系统认证日志
filter f_auth { facility(auth) or facility(authpriv); };
destination d_auth { file("/var/log/security/auth.log"); };
log { source(s_syslog); filter(f_auth); destination(d_auth); };

# 收集内核日志
filter f_kernel { program("kernel") or facility(kern); };
destination d_kernel { file("/var/log/security/kernel.log"); };
log { source(s_syslog); filter(f_kernel); destination(d_kernel); };

高级安全分析配置

配置日志过滤与告警：

# 检测异常登录尝试
filter f_failed_login {
  program("sshd") and match("Failed password");
};
destination d_failed_login {
  file("/var/log/security/failed_login.log");
  destination(d_syslog);
};
log { source(s_syslog); filter(f_failed_login); destination(d_failed_login); };

# 配置日志轮转
destination d_rotated_log {
  file("/var/log/security/rotated.log")
  template("$DATE $HOST $MSG\n")
  template_escape(no);
};

实施与验证

启动服务并测试：

systemctl enable syslog-ng
systemctl start syslog-ng
systemctl status syslog-ng

# 模拟日志测试
logger -p auth.info "Test security message"

通过上述配置，syslog-ng能够有效收集和分类系统安全日志，为后续的安全分析提供可靠数据支持。建议定期检查日志文件权限和轮转策略，确保日志完整性。