系统安全审计实践：Linux日志分析工具syslog-ng配置方法

系统安全审计实践：Linux日志分析工具syslog-ng配置方法

在Linux系统安全审计中，日志分析是关键环节。syslog-ng作为企业级日志收集和处理工具，在系统安全监控中发挥重要作用。

基础配置示例

首先配置基础的日志接收服务：

# 创建syslog-ng配置文件
sudo vim /etc/syslog-ng/conf.d/security.conf

# 添加以下配置内容
source s_local {
  system();
  internal();
};

destination d_syslog {
  file("/var/log/syslog.log");
};

filter f_security {
  match("security" value("MESSAGE"));
};

log {
  source(s_local);
  destination(d_syslog);
  filter(f_security);
};

安全增强配置

为提高安全性，建议添加日志轮转和加密传输：

# 配置日志轮转
sudo vim /etc/logrotate.d/syslog-ng

/var/log/syslog.log {
  daily
  rotate 7
  compress
  delaycompress
  missingok
  notifempty
}

实时监控脚本

#!/bin/bash
# 安全日志实时监控脚本

tail -f /var/log/syslog.log | grep -i "failed\|error\|warning" | \
while read line; do
  echo "[SECURITY ALERT] $(date): $line"
  # 可添加告警通知机制
  logger -t security-alert "$line"
done

通过以上配置，可有效提升系统日志的收集、分析和安全监控能力。