【网络安全】 rsyslog日志

【网络安全】 rsyslog日志

一、什么是syslog

完善的日志分析系统应该能够通过多种协议（包括syslog等）进行日志采集并对日志分析，因此日志分析系统首先需要实现对多种日志协议的解析。其次，需要对收集到的海量日志信息进行分析，再利用数据挖掘技术，发现隐藏再日志里面的安全问题。
Syslog在Unix/Linux系统中应用非常广泛，它是一种标准协议，负责记录系统事件的一个后台程序，记录内容包括核心、系统程序的运行情况及所发生的事件。Syslog协议使用UDP作为传输议，通过514端口通信，Syslog使用syslogd后台进程，syslogd启动时读取配置文件/etc/syslog.conf，它将网络设备的日志发送到安装了syslog软件系统的日志服务器，Syslog日志服务器自动接收日志数据并写到指定的日志文件中。

二、rsyslog

rsyslog可以简单的理解为syslog的超集，在老版本的Linux系统中，RedHatEnterpriseLinux3/4/5默认是使用的syslog作为系统的日志工具，从RHEL 6 开始系统默认使用了rsyslog。
特性：
1、支持输出日志到各种数据库，如mysql、postgresql，MongDB、ElasticSearch等等；
2、通过RELP + TCP 实现数据的可靠传输，也可是udp传输
3、精细的输出格式控制及对消息强大的过滤能力；
4、高精度时间戳。队列操作（内存，磁盘及混合模式等）；支持数据的加密和压缩传输等。

rsyslog配置文档

# rsyslog configuration file
# For more information see /usr/share/doc/rsyslog-*/rsyslog_conf.html
# If you experience problems, see http://www.rsyslog.com/doc/troubleshoot.html
#### MODULES ####
加载模块
# The imjournal module bellow is now used as a message source instead of imuxsock.
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
$ModLoad imjournal # provides access to the systemd journal
#$ModLoad imklog # reads kernel messages (the same are read from journald)
#$ModLoad immark  # provides --MARK-- message capability
# Provides UDP syslog reception 加载UDP模块
#$ModLoad imudp
#$UDPServerRun 514
# Provides TCP syslog rec