各Unix平台日志审计的配置方法和步骤.doc
- 文档编号:1546068
- 上传时间:2022-10-23
- 格式:DOC
- 页数:20
- 大小:218.50KB
各Unix平台日志审计的配置方法和步骤.doc
《各Unix平台日志审计的配置方法和步骤.doc》由会员分享,可在线阅读,更多相关《各Unix平台日志审计的配置方法和步骤.doc(20页珍藏版)》请在冰豆网上搜索。
各Unix平台日志审计的配置方法和步骤
1 安装部署方法和步骤 2
1.1 日志采集 2
1.2 Aix6.1部署 2
1.3 Aix5.3部署 3
1.4 Aix5.2部署 4
1.5 Aix4.3部署 5
1.6 Solaris10部署 6
1.7 Solaris9部署 7
1.8 Solaris8部署 8
1.9 HPUX11.23部署 9
1.10 HPUX11.31部署 10
1.11 HPUX11.11部署 11
1.12 suse11部署 13
1.13 suse10部署 14
1.14 suse9部署 15
1.15 SCO5.0.6部署 16
2 /etc/syslog.conf中SSIMSyslog接收地址的确定 18
3 预制脚本的下载和执行 19
3.1 预制脚本的下载 19
3.2 AIX平台自动配置脚本的执行 19
4 各Unix平台需要使用的脚本汇总 20
1安装部署方法和步骤
1.1日志采集
1.1.1采集内容
根据日志审计的要求,我们重点关注用户的登录、登出行为和系统守护程序的运行状态。
基于此,我们主要采集Unix系统的一下syslog日志:
nauth.info—用户认证、授权日志,包括用户登录、登出、切换等
nauthpriv.info—用户认证、授权日志,包括用户登录、登出、切换等,和auth功能类似,不同系统有所不同。
ndaemon.info—系统守护进程日志,比如ftp等
n用户登录成功和失败的日志。
1.1.2采集方式
n对于Unix系统自带的syslog日志,通过修改系统的syslog发送配置选项,由自身的syslog进程,将日志发送到SSIM日志采集机
n对于登录成功、失败日志,有些操作系统syslog不产生该类日志,通过定期执行脚本,读取登录日志文件,并发送到syslog进程,由其统一转发到SSIM日志采集机。
1.2Aix6.1部署
1.2.1Syslog配置
1.执行chssys-ssyslogd-a""(由于做过安全加固,导致syslog发送不出来,需要通过该命令修改)
2.修改/etc/syslog.conf文件,在最后增加以下内容:
auth.info<tab>@
authpriv.info<tab>@
daemon.info<tab>@
保存配置
注:
3.重启syslogd
stopsrc-ssyslogd
startsrc-ssyslogd
1.2.2Telnet成功登录采集脚本部署
1.增加采集日志脚本
增加采集脚本wtmp.sh到/var/adm目录下,wtmp.sh脚本内容请参考文件wtmp.sh:
修改wtmp.sh文件属性,增加可执行权限:
chmod+xwtmp.sh
2.增加crontab执行任务
以root用户登录系统,执行crontab–e增加以下crontab任务,每5分钟执行一次:
0,5,10,15,20,25,30,35,40,45,50,55****/var/adm/wtmp.sh>/dev/null2>&1
1.2.3部署结果测试
在主机侧进行telnet登录成功和失败测试,在SSIM侧进行日志收集和解析监控,确保日志能够及时发送并成功解析。
1.3Aix5.3部署
1.3.1Syslog配置
1.执行chssys-ssyslogd-a""(由于做过安全加固,导致syslog发送不出来,需要通过该命令修改)
2.修改/etc/syslog.conf文件,在最后增加以下内容:
auth.info<tab>@
authpriv.info<tab>@
daemon.info<tab>@
保存配置
注:
3.重启syslogd
stopsrc-ssyslogd
startsrc-ssyslogd
1.3.2Telnet成功登录采集脚本部署
1.增加采集日志脚本
增加采集脚本wtmp.sh到/var/adm目录下,wtmp.sh脚本内容请参考文件wtmp.sh:
修改wtmp.sh文件属性,增加可执行权限:
chmod+xwtmp.sh
2.增加crontab执行任务
以root用户登录系统,执行crontab–e增加以下crontab任务,每5分钟执行一次:
0,5,10,15,20,25,30,35,40,45,50,55****/var/adm/wtmp.sh>/dev/null2>&1
1.3.3部署结果测试
在主机侧进行telnet登录成功和失败测试,在SSIM侧进行日志收集和解析监控,确保日志能够及时发送并成功解析。
1.4Aix5.2部署
1.4.1Syslog配置
1.执行chssys-ssyslogd-a""(由于做过安全加固,导致syslog发送不出来,需要通过该命令修改)
2.修改/etc/syslog.conf文件,在最后增加以下内容:
auth.info<tab>@
authpriv.info<tab>@
daemon.info<tab>@
保存配置
注:
3.重启syslogd
stopsrc-ssyslogd
startsrc-ssyslogd
1.4.2Telnet成功登录采集脚本部署
1.增加采集日志脚本
增加采集脚本wtmp.sh到/var/adm目录下,wtmp.sh脚本内容请参考文件wtmp.sh:
修改wtmp.sh文件属性,增加可执行权限:
chmod+xwtmp.sh
2.增加crontab执行任务
以root用户登录系统,执行crontab–e增加以下crontab任务,每5分钟执行一次:
0,5,10,15,20,25,30,35,40,45,50,55****/var/adm/wtmp.sh>/dev/null2>&1
1.4.3部署结果测试
在主机侧进行telnet登录成功和失败测试,在SSIM侧进行日志收集和解析监控,确保日志能够及时发送并成功解析。
1.5Aix4.3部署
1.5.1Syslog配置
4.执行chssys-ssyslogd-a""(由于做过安全加固,导致syslog发送不出来,需要通过该命令修改)
5.修改/etc/syslog.conf文件,在最后增加以下内容:
auth.info<tab>@
authpriv.info<tab>@
daemon.info<tab>@
保存配置
注:
6.重启syslogd
stopsrc-ssyslogd
startsrc-ssyslogd
1.5.2Telnet成功登录采集脚本部署
3.增加采集日志脚本
增加采集脚本wtmp.sh到/var/adm目录下,wtmp.sh脚本内容请参考文件wtmp.sh:
修改wtmp.sh文件属性,增加可执行权限:
chmod+xwtmp.sh
4.增加crontab执行任务
以root用户登录系统,执行crontab–e增加以下crontab任务,每5分钟执行一次:
0,5,10,15,20,25,30,35,40,45,50,55****/var/adm/wtmp.sh>/dev/null2>&1
1.5.3部署结果测试
在主机侧进行telnet登录成功和失败测试,在SSIM侧进行日志收集和解析监控,确保日志能够及时发送并成功解析。
1.6Solaris10部署
1.6.1Syslog配置
1.修改系统login参数
vi/etc/default/login
取消SYSLOG和SYSLOG_FAILED_LOGINS的注释,并设置相应的参数:
SYSLOG=YES
SYSLOG_FAILED_LOGINS=0
2.vi/etc/syslog.conf,在文件最后面增加以下两行:
auth.info
daemon.info
保存配置
注:
3.重启一下syslogd:
svcadmrestart/system/system-log
1.6.2部署结果测试
在主机侧进行telnet登录成功和失败测试,在SSIM侧进行日志收集和解析监控,确保日志能够及时发送并成功解析。
1.7Solaris9部署
1.7.1Syslog配置
1.修改系统login参数
vi/etc/default/login
取消SYSLOG和SYSLOG_FAILED_LOGINS的注释,并设置相应的参数:
SYSLOG=YES
SYSLOG_FAILED_LOGINS=0
2.vi/etc/syslog.conf,在文件最后面增加以下两行:
auth.info
daemon.info
保存配置
注:
3.重启一下syslogd:
/etc/init.d/syslogstop
/etc/init.d/syslogstart
1.7.2部署结果测试
在主机侧进行telnet登录成功和失败测试,在SSIM侧进行日志收集和解析监控,确保日志能够及时发送并成功解析。
1.8Solaris8部署
1.8.1Syslog配置
1.修改系统login参数
vi/etc/default/login
取消SYSLOG和SYSLOG_FAILED_LOGINS的注释,并设置相应的参数:
SYSLOG=YES
SYSLOG_FAILED_LOGINS=0
2.vi/etc/syslog.conf,在文件最后面增加以下两行:
auth.info
daemon.info
保存配置
注:
3.重启一下syslogd:
/etc/init.d/syslogstop
/etc/init.d/syslogstart
1.8.2部署结果测试
在主机侧进行telnet登录成功和失败测试,在SSIM侧进行日志收集和解析监控,确保日志能够及时发送并成功解析。
1.9HPUX11.23部署
1.
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Unix 平台 日志 审计 配置 方法 步骤
![提示](https://static.bdocx.com/images/bang_tan.gif)