利用Syslog Watcher在windows下部署syslog日誌伺服器
阿新 • • 發佈:2018-12-10
1.概述
syslog協議是各種網路裝置、伺服器支援的網路日誌記錄標準。Syslog訊息提供有關網路事件和錯誤的資訊。系統管理員使用Syslog進行網路管理和安全稽核。
通過專用的syslog伺服器和syslog協議將來自整個網路的事件記錄整合到一箇中央儲存庫中,對於網路安全具有重大意義,syslog日誌伺服器可收集,解析,儲存,分析和解釋系統日誌訊息給專業網路安全管理員,有助於提高網路的穩定性和可靠性。
通過Syslog Watcher可在windows平臺搭建日誌集中伺服器,便於管理並滿足合規需求。
2.安裝服務端
在Syslog Watcher部署完成後需對其配置進行修改,主要修改如下:
- 將編碼格式修改為UTF-8不然會出現日誌亂碼問題。
- 可自定義監聽埠
3.安裝客戶端
本文使用nxlog作為windows日誌手機客戶端,可前往https://nxlog.co/下載軟體並安裝。
在部署完成後需對nxlog.conf配置檔案進行修改,主要修改如下:
Panic Soft
#NoFreeOnExit TRUE
define ROOT D:\nxlog #安裝路徑
define CERTDIR %ROOT%\cert
define CONFDIR %ROOT%\conf
define LOGDIR %ROOT%\data
define LOGFILE %ROOT%\data\nxlog.log #日誌路徑
LogFile %LOGFILE%
Moduledir %ROOT%\modules
CacheDir %ROOT%\data
Pidfile %ROOT%\data\nxlog.pid
SpoolDir %ROOT%\data
<Extension _syslog>
Module xm_syslog #syslog服務
</Extension>
<Input in>
Module im_msvistalog #對windowsvista及以上適用
ReadFromLast FALSE
SavePos FALSE
# Query <QueryList>\
# <Query Id="0">\
# <Select Path="Application">*</Select>\
# <Select Path="System">*</Select>\
# <Select Path="Security">*</Select>\
# </Query>\
# </QueryList>
</Input>
<Output out> #輸出到遠端日誌伺服器
Module om_udp
Host 10.10.0.36
Port 514
Exec to_syslog_snare();
</Output>
<Output out2> #輸出到遠端日誌伺服器
Module om_udp
Host 10.10.0.37
Port 666
Exec to_syslog_snare();
</Output>
<Route 1> #輸出規則
Path in => out
</Route>
<Route 2> #輸出規則
Path in => out2
</Route>
#<Extension _charconv>
# Module xm_charconv
# AutodetectCharsets gb2312
# AutodetectCharsets iso8859-2, utf-8, utf-16, utf-32
#</Extension>
<Extension _exec>
Module xm_exec
</Extension>
<Extension _fileop>
Module xm_fileop
# Check the size of our log file hourly, rotate if larger than 5MB
<Schedule>
Every 1 hour
Exec if (file_exists('%LOGFILE%') and \
(file_size('%LOGFILE%') >= 5M)) \
file_cycle('%LOGFILE%', 8);
</Schedule>
# Rotate our log file every week on Sunday at midnight
<Schedule>
When @weekly
Exec if file_exists('%LOGFILE%') file_cycle('%LOGFILE%', 8);
</Schedule>
</Extension>