Использование Rsyslog для обеспечения безопасности в НАЙС ОС

Введение

Rsyslog - это высокопроизводительная система журналирования для Unix-подобных систем, которая позволяет собирать, фильтровать и отправлять логи. В данной документации рассмотрены установка, настройка и использование Rsyslog в контексте обеспечения безопасности в НАЙС ОС, а также примеры использования команд.

Установка Rsyslog

Для установки Rsyslog в НАЙС ОС используется пакетный менеджер tdnf или dnf. Воспользуйтесь следующими командами для установки необходимых пакетов:


$ sudo tdnf install rsyslog

Основные файлы конфигурации Rsyslog

Основной файл конфигурации Rsyslog находится по пути /etc/rsyslog.conf. Дополнительные конфигурационные файлы могут находиться в директории /etc/rsyslog.d/. Rsyslog поддерживает модульную конфигурацию, что позволяет легко расширять его функциональность.

Запуск и остановка Rsyslog

Для управления службой Rsyslog используются стандартные команды systemd:


$ sudo systemctl start rsyslog
$ sudo systemctl stop rsyslog
$ sudo systemctl restart rsyslog
$ sudo systemctl status rsyslog

Основные параметры конфигурации

Рассмотрим основные параметры конфигурации в файле /etc/rsyslog.conf:

Включение поддержки модулей

Для включения различных модулей используются директивы module(). Например, для включения модуля для записи логов в файл:


module(load="imuxsock")  # предоставляет поддержку для локальных сокетов
module(load="imklog")    # позволяет читать логи ядра

Настройка формата сообщений

Для настройки формата сообщений используется параметр template(). Например, чтобы настроить формат сообщений в стиле традиционного syslog:


template(name="TraditionalFormat" type="string"
         string="<%PRI%>%TIMESTAMP% %HOSTNAME% %syslogtag%%msg%")

Фильтрация и маршрутизация сообщений

Для фильтрации и маршрутизации сообщений используются правила, которые определяют, какие сообщения записывать и куда их отправлять. Например, для записи всех сообщений уровня authpriv в отдельный файл:


authpriv.* /var/log/secure

Или для отправки всех сообщений уровня mail на удаленный сервер:


mail.* @remote-syslog-server.example.com:514

Обеспечение безопасности логов

Для обеспечения безопасности логов в Rsyslog можно использовать различные методы, такие как шифрование и аутентификация сообщений, управление доступом и мониторинг логов.

Шифрование и аутентификация

Для шифрования и аутентификации сообщений при отправке их на удаленные серверы можно использовать модули omfwd и imtcp с поддержкой TLS. Пример конфигурации для отправки логов по защищенному каналу:


module(load="imtcp")
input(type="imtcp" port="6514" StreamDriver.Name="gtls" StreamDriver.Mode="1" StreamDriver.Authmode="anon")

module(load="omfwd")
action(type="omfwd"
       target="remote-syslog-server.example.com"
       port="6514"
       protocol="tcp"
       StreamDriver.Name="gtls"
       StreamDriver.Mode="1"
       StreamDriver.Authmode="anon")

Управление доступом

Ограничьте доступ к файлам логов, установив соответствующие права доступа. Например, для установки прав доступа, позволяющих только пользователю root читать и записывать в файл логов:


$ sudo chmod 600 /var/log/secure

Мониторинг логов

Регулярно проверяйте и анализируйте логи для выявления подозрительных активностей. Используйте инструменты, такие как logwatch или logrotate, для автоматического анализа и ротации логов:


$ sudo tdnf install logwatch logrotate

Настройка logrotate для ротации логов Rsyslog:


/var/log/messages {
    rotate 7
    daily
    missingok
    notifempty
    compress
    delaycompress
    postrotate
        /usr/lib/rsyslog/rsyslog-rotate
    endscript
}

Заключение

Rsyslog является мощным и гибким инструментом для управления логами в НАЙС ОС. Следуя приведенным рекомендациям и примерам, вы сможете эффективно собирать, фильтровать и защищать логи, обеспечивая высокий уровень безопасности вашей системы.

Экспорт в PDF