CentOS7 利用rsyslog建立日志备份（同步）服务

---

前言

日志是查看系统运行情况的一个重要部分，在应急响应中，服务器的日志文件就扮演了一个特别重要的作用，管理员根据日志可以判断一些恶意的攻击行为，以此来将一些IP拉入黑名单或者对攻击进行溯源等等。为防止日志被恶意删除的行为，日志的备份就显得特别重要。

---

0x01 服务端配置

服务端：负责接收其他客户端发来的日志，并做好备份保存。

打开rsyslog的配置文件。

vim /etc/rsyslog.conf

选择接收的传输协议（UDP或者TCP）和端口号（默认514），我选择了TCP。

默认的存储文件位置是/var/log/messages
不过这样会把本机和客户机的日志都放在一起，可以单独新建一个文件进行存放，在最下方添加：

:fromhost-ip,isequal,"192.168.178.129" /var/log/client/client.log

意思是当主机IP为192.168.178.129时，日志文件保存到 /var/log/client/client.log

最后重启服务：