【网安合规】使用 Rsyslog Agent - 快速收集Windows主机系统日志，合规利器！

已于 2024-04-11 22:39:43 修改
阅读量1k 收藏 18
点赞数 7
分类专栏： 公众号付费专栏 文章标签： 运维 Rsyslog Linux 网络日志 Windows
于 2024-04-10 11:09:51 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u013072756/article/details/137617886
版权

ff452ce0eb48b3428641b8e860192628.jpeg

c303ddc7329af2d92a75a8e72b50d6e2.gif

[ 即使爬到最高的山顶，一次也只能脚踏实地的迈一步。]

大家好，我是【WeiyiGeek/唯一极客】一个正在向全栈工程师(SecDevOps)前进的技术爱好者  
作者微信：WeiyiGeeker  
公众号/知识星球：全栈工程师修炼指南  
主页博客: 【 https://weiyigeek.top 】- 为者常成，行者常至。

文章目录：

  • 0x00 前言简述

  • 0x01 实践为证

    • 1.安装 Rsyslog Windows Agent 工具

    • 2.配置 Rsyslog Windows Agent 转发

    • 3.设置 Rsyslog 服务端消息模板

    • 4.验证 Rsyslog 服务端接收日志

0x00 前言简述

01.缘由

描述: 由于《信息安全技术网络安全等级保护基本要求[GB/T 22239-2019]》以及《中华人民共和国网络安全法》、《公安部82号令》安全日志审计的要求，网络运营者和网络服务提供者必须能够对上网行为日志做留存，时间不得小于180天，否则相关责任人将被处于行政罚款。

《信息安全技术网络安全等级保护基本要求》，网络安全审计日志需集中收集存储，即：应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求。 《中华人民共和国网络安全法》：第三章 第二十一条明确规定：采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。

02.目前

之前作者使用ELK方式在收集企业中的相关网络及应用日志，但是由于ELK的架构过于庞大，而且需要部署和维护大量的组件，所以目前正在逐步使用Loki+Promtail+Grafana云原生的方式进行日志收集，目前已实现使用 rsyslog 服务端收集 Linux 系统日志、审计相关日志以及网络安全设备等日志，并使用 Grafana 进行可视化展示与检索，现在逐步实现 Windows 系统日志收集。

所以此章将简单介绍与 rsyslog 官方推出的 Rsyslog Windows Agent工具，实践将 Windows 系统日志转发到 rsyslog 服务端中。

1f65249bc490f5b2ec74c16a61b20c04.png

原文链接：【网安合规】使用 Rsyslog Agent - 快速收集Windows主机系统日志，合规利器！本章，作者记录在企业网络安全等级保护要求以及安全运维工作中，针对WindowsServer服务器的相关系统、安全、应用日志进行采集，通过rsyslog服务器接收转发的syslog消息，并更新消息模板进行过滤消息中事件类型，用于后续对日志检索icon-default.png?t=N7T8https://mp.weixin.qq.com/s/mxtdH6RIRRQQc9Kh9aP_yA

正如，前面所说，rsyslog 官方推出的 Rsyslog Windows Agent 工具旨在与Rsyslog for Linux紧密合作，可以非常方便的将 Windows 系统日志转发到 rsyslog 服务端中，方便后续针对 Windows 系统日志进行集中收集分析，使用此工具的好处是支持 Windows Event Log Monitor、Windows Event Forwarder、 TCP/UDP/TLS/·TLS/TCP+TLS 等多种传输协议，并且还可以针对日志进行可视化过滤配置，而不好的一点就是要根据不同的版本（基本 （$/€ 55）、专业 （$/€ 79）、企业 （$/€ 109），单位欧元）收费（免费使用30天），所以说如果企业有明确要求并且经费充足，或者IT运维人员想要简单化Windows日志收集的，此乃也是一个不错的选择，不过说真的是有一点点小贵，基础版本都要400百多呢。

a6835ec3769d8ce39af266d64721c2b2.png

weiyigeek.top-Rsyslog Windows Agent费用价格图

版本比较：https://www.rsyslog.com/windows-agent/edition-comparison

03.前置知识

Linux 中 audit 审计服务搭建部署及日志转发实践，可参考作者发布的《【网安合规】Audit 审计系统服务 - 快速监控检索系统安全事件，合规利器！》文章。

Linux 中 rsyslog 日志服务器搭建部署，可参考作者发布的《【网安合规】Rsyslog 开源日志服务器 - 快速收集企业网络日志，合规利器！》文章。

最终实现效果如下示：

从 rsyslog 服务器存储上验证接收的Windows事件日志

ac3d5b985bd628938465bfeade91d7cc.png

weiyigeek.top-rsyslog 服务器上验证接收的windows日志图
使用 Grafan + Loki 展示 rsyslog windows agent 转发的数据，并检索指定事件的Windows日志图

c71ccc498d6ecb1d7f8dac5a6bc53fbb.png

weiyigeek.top-使用Grafana可视化展示Windows日志图

完整原文：

【网安合规】使用 Rsyslog Agent - 快速收集Windows主机系统日志，合规利器！本章，作者记录在企业网络安全等级保护要求以及安全运维工作中，针对WindowsServer服务器的相关系统、安全、应用日志进行采集，通过rsyslog服务器接收转发的syslog消息，并更新消息模板进行过滤消息中事件类型，用于后续对日志检索icon-default.png?t=N7T8https://mp.weixin.qq.com/s/mxtdH6RIRRQQc9Kh9aP_yA

全栈工程师修炼指南
关注
  • 7
    点赞
  • 踩
  • 18
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 2
    评论
专栏目录
RSyslog-Windows-Agent-7.5.zip
01-09
从官网下载下来，方便大家下载。 Rsyslog Windows Agent 是一个专门为 Windows 系统设计的日志收集代理软件，旨在高效、可靠地从 Windows 系统收集日志，并将它们转发到 syslog 服务器进行集中管理和处理。
rsyslog日志平台--日志工作流引擎
三禾工作室
01-28 3370
Linux下面自然的选择是rsyslog 一、基本配置实验 网上大量文章都不是很靠谱，测试平台CentOS7和loongxin系统，服务端为192.168.10.58(centos)，客户端为192.168.14.211(loongson) 1. 客户端配置：客户端修改 /etc/rsyslog.conf 把尾部#*.* @@remote-host:514删除#，并把@@替换为@，remote-host替换为日志服务器主机IP即可； *.* @192.168.10.58:514 #UDP
探秘 EventLog Audit：一款强大的日志审计神器
最新发布
gitblog_00001的博客
04-22 648
探秘 EventLog Audit：一款强大的日志审计神器 项目地址:https://gitcode.com/netxfly/eventlog-audit 在日常的系统管理和安全监控中，日志数据扮演着至关重要的角色。今天，我们将深入探讨一个开源项目——EventLog Audit，它是一个专门用于Windows事件日志审计和分析的工具，可以帮助管理员更有效地管理和理解系统的运行状态。 项目简介 E...
Windows和Linux远程日志收集
ITmoster的博客
03-14 1702
每个企业都需要从其整个网络中的设备收集和监视日志数据，以确保安全性，对操作问题进行故障排除以及对安全事件进行取证分析。为此，他们可能依赖于日志管理工具或SIEM解决方案。无论使用哪种工具，将日志收集到集中位置都比看起来困难得多。从配置设备以将日志数据发送到中央服务器以确保传输中的日志的安全性，日志收集与任何其他日志管理过程一样重要且困难。
【网安合规】Rsyslog 开源日志服务器 - 快速收集企业网络日志，合规利器！
WeiyiGeek 唯一极客IT知识分享
02-26 1108
01.缘由描述: 由于《信息安全技术网络安全等级保护基本要求[]》以及《中华人民共和国网络安全法》、《公安部82号令》安全日志审计的要求，网络运营者和网络服务提供者必须能够对上网行为日志做留存，时间不得小于180天，否则相关责任人将被处于行政罚款。《信息安全技术网络安全等级保护基本要求》，网络安全审计日志需集中收集存储，即：应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求。
Windows 搭建Syslog、RSyslog日志服务器
我是唐
03-16 8145
简述 设备上的log使用syslog管理，支持将log实时发送到服务器，仅需要在设备的syslog配置文件中配置日志服务器Ip端口即可。 syslog客户端 配置 设备配置直接用Tcp工具开个端口接收日志就能测试设备有没有配置成功。 打开rsyslog的配置文件； vim /etc/rsyslog.conf 滚动到文件底部 #*.* @@remote-host:514 #修改为以下 意思是 使用UDP协议向192.168.1.221的514端口，实时发送日志 *.* 代表所有日志 *.* @192.168
Rsyslog Windows agent configuration client简单使用
11-16
简单的使用说明（Word版），亲测有效。只是一个客户端的使用说明，服务端还需要自己的去下载配置，客户端也需要下载rsyslog的配套客户端。可以从Windows本地上传日志文件通过客户端上传到服务端。
centos 7 配置rsyslog日志服务接收centos及Windows日志
shinena_deng的博客
10-20 1335
centos 配置日志服务器
你居然还去服务器上捞日志，搭个日志收集系统难道不香么
m0_63437643的博客
05-13 172
{ "project": "mall-tiny", "level": "%level", "service": "${APP_NAME:-}", "class": "%logger", "message": "%message" }
windows rsyslog agent 乱码
sujin的博客
01-27 1098
windows 安装完rsyslog 发送的日志发现是乱码 windows本地的发送语言设置问题。 按照如上图参数改完之后，日志显示正常了，其实还是参考官方文档靠谱点。这样配置就算完成了 参考官方提供的操作文档： https://www.rsyslog.com/download/files/windows-agent-manual/forwardsyslogoptions.html 2.loganalyzer登录后出现以下错误提示：Could not find the configured t
rsyslog-mysql-8.24.0-34.el7.x86_64.rpm
11-30
离线安装包，亲测可用
rsyslog-kafka-8.24.0-34.el7.x86_64.rpm
11-30
离线安装包，亲测可用
rsyslog-8.32.0.tar.gz
07-09
rsyslog-8.32.0.tar.gz
windows下搭建syslog服务器及基本配置
ly4983的专栏
03-03 5558
windows下搭建syslog服务器及基本配置 一、环境 　　windows7 64位+ kiwi_syslog_server_9.5.0 　　kiwi_syslog百度云下载地址: 链接: https://pan.baidu.com/s/1EpPBNsL1RVXceHeQoce1Ag 提取码: 6j9w 二、安装syslog服务器 　　2.1 双击安装文件 　　2.2 下一步到了如下，去掉勾选 　　2.3 一直下一步，知道结束 　　2.4 关闭sy...
将Windows的系统日志自动收集并且转发到syslog服务器，百试百灵
m0_46583157的博客
02-20 1912
# 将windows的系统日志自动收集并且转发到syslog服务器，百试百灵*
日志收集系统
ALEX_CYL的博客
06-23 2540
a. 把机器上的日志实时收集，统一的存储到中心系统 b. 然后再对这些日志建立索引，通过搜索即可以找到对应日志 c. 通过提供界面友好的web界面，通过web即可以完成日志搜索a. 实时日志量非常大，每天几十亿条 b. 日志准实时收集，延迟控制在分钟级别 c. 能够水平可扩展4.1　ELK简介 通俗来讲，ELK是由Elasticsearch（弹性搜索引擎）、Logstash（日志收集）、Kibana（查看日志/可视化的web界面）三个开源软件的组成的一个组合体，ELK是elastic公司研发的一套完整的日志
分布式ELK日志采集系统
T_karine的博客
12-12 1020
1
Rsyslog服务器服务端和客户端配置和日志转发
h952520296的博客
08-05 4521
一、设置Linux日志服务器 在Linux中配置Rsyslog 在我们理解syslog之后，现在可以通过rsyslog来将一个Linux服务器配置为一个中心syslog服务器了，另外我们也将看到如何在一个Windows的系统上配置一个syslog客户端来发送内部日志到该syslog服务器中。 第1步: 初始化系统需求 要将linux主机设置为一个中央日志服务器， 我们需要创建一个分离的 /var 分区，并分配足够大的磁盘空间或者创建一个特殊的LVM卷组。这样就会使得syslog服务器能够承担在日积月累收
Rsyslog v8-stable版本详细配置说明及详细配置案例
06-10
Rsyslog是一种流行的系统日志服务器，它可以接收、处理和转发各种系统日志消息。下面是Rsyslog v8-stable版本的详细配置说明及使用案例。 1. 安装Rsyslog 在大多数Linux发行版中，Rsyslog已经预安装了，如果没有安装可以使用以下命令进行安装： ``` sudo apt-get install rsyslog ``` 2. 配置Rsyslog Rsyslog的主配置文件位于/etc/rsyslog.conf，可以使用任何文本编辑器进行编辑。以下是一些常用的配置示例： - 将所有日志消息记录到本地文件中 ``` # Log all messages to the local file /var/log/syslog *.* /var/log/syslog ``` - 将所有日志消息转发到远程服务器 ``` # Forward all messages to a remote syslog server *.* @remote-server:514 ``` - 将指定日志消息记录到独立的文件中 ``` # Log auth messages to the file /var/log/auth.log auth.* /var/log/auth.log ``` - 过滤指定的日志消息 ``` # Discard all kernel messages except for error messages kern.!err /dev/null ``` 3. 重新加载Rsyslog配置 在修改Rsyslog配置文件后，需要重新加载配置文件才能使更改生效。可以使用以下命令重新加载Rsyslog配置： ``` sudo systemctl restart rsyslog ``` 4. 查看Rsyslog日志 Rsyslog默认将所有日志消息记录到/var/log/syslog，可以使用以下命令查看日志： ``` sudo tail -f /var/log/syslog ``` 以上是Rsyslog v8-stable版本的详细配置说明及使用案例，希望对你有所帮助。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

全栈工程师修炼指南

原创不易，赞赏鼓励!

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值