日志审计,就是记录所有系统和相关用户行为的信息,并且可以自动分析,处理。在中小企业环境中,一般都是在单个服务器上记录日志,而大型企业的生产环境当中,会有专门的日志服务器乃至集群。本文通过sudo配合centos自带的rsyslog(syslog)服务,进行日志审计。
项目描述:
1.权限控制后进一步实施对所有用户日志记录方案
2.通过sudo 和syslog配合实现对所有用户进行日志审计并将记录集中管理
3.实施后让所有运维和开发的所有执行的命令都有记录可查,杜绝了内部人员的操作安全隐患
这里要记录的日志,并不记录普通用户的普通操作,而是记录执行sudo命令的用户的操作。
实施步骤:
1.确认rsyslog(syslog),sudo有没有安装。没有安装的话直接使用Yum安装
2.配置sudoers配置文件,把执行了sudo命令的用户信息存放到指定的日志文件,然后使用visudo -c检查sudoers配置文件是否编译正确:
echo "Defaults logfile=/var/log/sudo.log">>/etc/sudoers
##then syntax the config file
visudo -c
3.接下来配置rsyslog服务的配置文件:
echo "local2.debug /var/log/sudo.log">>/etc/rsyslog.conf
表示制定local2的设备打印debug级别的错误,并将结果打印至sudo.log文件里面
4.配置好rsyslog的配置文件以后,重启