日志审计与分析--Linux日志收集（配置rsyslog服务收集其他Linux服务器日志）

目录

实验准备

实验步骤：

一、重启rsyslog服务

二、配置rsyslog客户端

 三、验证rsyslog配置

---

实验准备

实验目的：

                 1、掌握rsyslog配置方法

                  2、配置rsyslog服务收集其他Linux服务器日志

实验环境：

               需要两台虚拟机（centOS），一台作为服务端，一台作为客户端。

                服务器ip地址：192.168.186.130

                客户端iP地址：192.168.186.131

Rsyslog简介

Rsyslog（ rocket-fast system for log），它提供了高性能，高安全功能和模块化设计。rsyslog能够接受从各种各样的来源，将其结果输入，输出到不同的目的地。

Ryslog 是一个快速处理收集系统日志的程序，支持C/S框架，可通过UDP/TCP协议提供日志集中管理服务。

为什么使用Rsyslog

在web服务器中，很多时候检查日志是一件痛苦的事情；

使用一台统一的日志服务器，将登录认证，系统日志等全部发送到这台日志服务器上；

可以做监控分析，也能随时获取最新日志。

实验步骤：

一、配置rsyslog服务器

配置前提：所有Linux均默认安装rsyslog服务。

确定服务器的地址

ifconfig

 关闭防火墙

systemctl stop firewalld

 

客户端IP地址

ifconfig

关闭防火墙

systemctl stop firewalld

 互相ping

 

 修改rsyslog服务器配置文件：

将下部分前的#号删除或者整行删除，保存退出（编辑使用i,编辑之后按Esc，然后按Shift+zz)

#$Modload imudp

#$UDPServerRun 514

#$ModLoad imtcp

#$InputTCPServerRun 514

重启rsyslog服务

systemctl restart rsyslog.service

二、配置rsyslog客户端

修改rsyslog客户端配置文件：

在文件最底部添加配置后，保存退出

*.*@ip地址

*.*@@ip地址

*.*@192.168.186.130

*.*@@192.168.186.130

 三、验证rsyslog配置

查看服务器日志是否能收集到客户机日志，重点检查/var/log/secure文件，正常收集后，应该能看到客户机登录日志。

这里直接检查了/var/log/secure文件