安全的log日志记录服务器(3)

　　设定服务器 我们需要对服务器做一些设定,让服务器把 log 送到我们的 logger 服务器去. 首先,我们需要设定 /etc/syslog.conf 把 log 送到一个有效的,但是不存在的 ip 下面.例如我们的网路是 192.168.1.0/24 其中并没有 192.168.1.123 这台机器,也就是说这个 ip 实际上是空的.我们就把 log 指向这里.您可以指向任意一个空的有效 ip.

　　vim /etc/syslog.conf

　　加入

　　*.info @192.168.1.123

　　如果您的系统是用 syslog-ng 的话

　　vim /etc/syslog-ng/syslog-ng.conf

　　destination d_loghost { udp(ip(192.168.123)

　　port (514)); };

　　filter f_info { level(info); };

　　log {filter(f_info); destination(d_loghost);};

　　我们还需要加入 static ARP entry 才可以. 如果您的网路只是接了记个 Hub 而已, 那么 ARP 地址一样可以好象 ip 一样,设定成虚构的. 如果您有连结 switch, 您需要加入 log 服务器的真实 MAC 地址.

　　我们这里加入我们 logger 服务器的真实 MAC 地址就可以了.

　　arp -s 192.168.1.123 00:D0:B7:DB:BF:95

　　在 Logger 服务器设定 snort

　　/etc/snort/snort.conf

　　var EXTERNAL_NET any

　　#等于 snort -d

　　config dump_payload

　　#等于 snort -C

　　config dump_chars_only

　　#设定 log 存放的 path

　　config logdir: /var/log/snort

　　# frag2 所做的动作就是把 fragmented 给我们 re-assembly

　　preprocessor frag2

　　log udp 192.168.1.1/32 any -> 192.168.1.123/32 514

　　(logto: "logged-packets";)

　　最后一行需要稍微解释一下∶

　　我们这里把 snort 来做 packet logger. 也就是说,并不是把所有的东西都写入到 /var/log/snort/alert 中.而是 log any packets with match the rule without writing an alert.

　　udp: 是说,我们这里用 udp 的 protocol. system log 通常都是使用 udp 的.

　　192.168.1.1/32: 就是只我们的服务器啦,也就是送 log 的机器. 如果您是从整个一个网路段中收 log 也可以用 192.168.1.0/24.

　　any: any source port 任何 port

　　->: 这个是 direction operator 大家都知道的

　　192.168.1.123/35 514 就是我们给出的那个空 ip 啦, port 514

　　如果没有指定 logto: 的话, log 会分别保存在不同的文件中. 而指定 logto 的话,就会把 log 全部存放到我们指定的文件中,看起来方便多了.

　　更安全的保存 log 就可以更安全的保护服务器. snort 的功能实际上非常的强大, 这里只是一个简单的介绍而已.如果您对这些东西有兴趣.可以去 www.snort.org/docs/下面看到非常多的有用的文件.