configure Aix audit log to syslog server

http://blog.yqyqq.com/archives/489

http://bbs.doit.com.cn/thread-27719-1-1.html

文章目录

• 一.配置audit的config文件
• 二. 重启audit
• 三.执行下列命令
• 四.修改syslog.conf文件
• 五.刷新syslog配置
• NOTE
• ERROR

最近由于项目上的需要，得将aix的audit日志发送到指定的syslog server上。写下该文档，已做记录

一.配置audit的config文件

编辑 /etc/security/audit/config文件

 

1 2 3

start: binmode = off streammode = on

将audit日志改为stream模式

二. 重启audit

#audit shutdown
#audit start

三.执行下列命令

#/usr/sbin/auditstream | auditpr -v | /usr/bin/logger -p local0.debug &

auditstream命令在流格式的审计记录生成时输出，通过管道交由auditpr，auditp读取auditstream传送多来的流格式的审计记录，并将格式化后的记录通过管道发送给logger，logger命令提供了与syslog子例程之间的接口，这个子例程向系统日志中写入。

四.修改syslog.conf文件

在文件的末行添加如下一行

 

1	*.debug@192.168.1.100

上面的是键盘上的tab键，192.168.1.100改成你接收syslog的设备IP

五.刷新syslog配置

#refresh -s syslogd

NOTE

如设备没有收到 aix所发出的审计记录，那么请按下列步骤进行排查
1.先到syslog server上进心抓包，抓包命令为 tcpdump -i eth0 port 514 and src SIP
eth0为syslog server的网卡名字，用ifconfig命令进行查看， SIP为aix服务器的IP
如没有数据抓到
2.修改上诉第四步中的 @192.168.1.100 为 /tmp/syslog.out
3.创建syslog.out文件 #touch /tmp/syslog.out
4.刷新syslog配置 #refresh -s syslogd
5.查看syslog.out文件是否有内容 #tail -f /tmp/syslog.out

ERROR

0513-036 The request could not be passed to the syslogd subsystem. Start the subsystem and try your command again.

当你执行 refresh -s syslogd 的时候，遇到上诉报错，那么请重启syslog服务

#stopsrc -s syslogd
#startsrc -s syslogd

• 相关文章

• Redirecting audit log output to the syslog file (Strong)

本文固定链接: http://blog.yqyqq.com/archives/489 | 鱼化石