wazuh日志、rsyslog日志学习
【网络安全】 rsyslog日志
一、什么是syslog
完善的日志分析系统应该能够通过多种协议（包括syslog等）进行日志采集并对日志分析，因此日志分析系统首先需要实现对多种日志协议的解析。其次，需要对收集到的海量日志信息进行分析，再利用数据挖掘技术，发现隐藏再日志里面的安全问题。
syslog在unix/linux系统中应用非常广泛，它是一种标准协议，负责记录系统事件的一个后台程序，记录内容包括核心、系统程序的运行情况及所发生的事件。syslog协议使用udp作为传输议，通过514端口通信，syslog使用syslogd后台进程，syslogd启动时读取配置文件/etc/syslog.conf，它将网络设备的日志发送到安装了syslog软件系统的日志服务器，syslog日志服务器自动接收日志数据并写到指定的日志文件中。
二、rsyslog
rsyslog可以简单的理解为syslog的超集，在老版本的linux系统中，redhatenterpriselinux3/4/5默认是使用的syslog作为系统的日志工具，从rhel 6 开始系统默认使用了rsyslog。
特性：
1、支持输出日志到各种数据库，如mysql、postgresql，mongdb、elasticsearch等等；
2、通过relp + tcp 实现数据的可靠传输，也可是udp传输
3、精细的输出格式控制及对消息强大的过滤能力；
4、高精度时间戳。队列操作（内存，磁盘及混合模式等）；支持数据的加密和压缩传输等。
rsyslog配置文档
# rsyslog configuration file
# for more information see /usr/share/doc/rsyslog-*/rsyslog_conf.html
# if you experience problems, see http://www.rsyslog.com/doc/troubleshoot.html
#### modules ####
加载模块
# the imjournal module bellow is now used as a message source instead of imuxsock.
$modload imuxsock # provides support for local system logging (e.g. via logger command)
$modload imjournal # provides access to the systemd journal
#$modload imklog # reads kernel messages (the same are read from journald)
#$modload immark # provides --mark-- message capability
# provides udp syslog reception 加载udp模块
#$modload imudp
#$udpserverrun 514
# provides tcp syslog rec
相关文章:
-
免交互
交互：我们发出指令控制程序的运行，程序在接受到指令之后按照指令的效果做出对应的反应。免交互：间接的通过第三方把指令传送给程序，不用直接的下达指令用tcl语言写的...
[阅读全文]
-
-
-
-
-
版权声明：本文内容由互联网用户贡献，该文观点仅代表作者本人。本站仅提供信息存储服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 2386932994@qq.com 举报，一经查实将立刻删除。
我要评论
发表评论