Auditd : リモートホストにログを転送する2016/07/26 |
|
リモートホストに Audit ログを転送して、特定ホストで複数ホストの Audit ログを一括管理できるようにします。
ここでは以下のような環境を例にします。 +----------------------+ | +----------------------+ | [ Auditd Server ] |10.0.0.30 | 10.0.0.51| [ Auditd Client ] | | dlp.srv.world +----------+----------+ node01.srv.world | | | | | +----------------------+ +----------------------+ |
|
| [1] | Audit ログを受信する側のホストの設定です。 |
|
[root@dlp ~]#
vi /etc/audit/auditd.conf # 25行目：コメント解除してリスンするポートを指定 tcp_listen_port = 60
service auditd restart
|
| [2] | Audit ログを送信する側のホストで Audisp プラグインをインストールして設定します。 |
|
[root@node01 ~]#
yum -y install audispd-plugins
[root@node01 ~]#
vi /etc/audisp/plugins.d/au-remote.conf # 6行目：変更 active = yes
[root@node01 ~]#
vi /etc/audisp/audisp-remote.conf # 6行目：ログ送信先ホスト remote_server = dlp.srv.world
# 7行目：ログ送信先ポート(受信サーバー側でリスンしているポート) port = 60
[root@node01 ~]#
vi /etc/audit/auditd.conf # 6行目：変更(ローカルにログを記録しない) log_format = NOLOG
service auditd restart |
| [3] | 以上で、設定したリモートホストのログが Audit ログ受信ホスト上に記録されていきます。 |
|
[root@dlp ~]# tail -5 /var/log/audit/audit.log node=node01.srv.world type=USER_START msg=audit(1456385789.273:101): pid=1141 uid=0 auid=0 ses=1 msg='op=..... node=node01.srv.world type=USER_END msg=audit(1456385789.278:102): pid=1141 uid=0 auid=0 ses=1 msg='op=PA..... node=node01.srv.world type=CRED_DISP msg=audit(1456385789.278:103): pid=1141 uid=0 auid=0 ses=1 msg='op=P..... node=node01.srv.world type=USER_END msg=audit(1456385791.441:104): pid=1120 uid=0 auid=0 ses=1 msg='op=PA..... node=node01.srv.world type=CRED_DISP msg=audit(1456385791.442:105): pid=1120 uid=0 auid=0 ses=1 msg='op=P..... |
| [4] | ログ受信サーバーで TCP Wrapper インストール済みであれば、 TCP Wrapper によるログ送信元ホストのアクセス制限が利用できます。 |
|
[root@dlp ~]#
vi /etc/audit/auditd.conf # 最終行に追記 use_libwrap = yes
[root@dlp ~]#
service auditd restart
[root@dlp ~]#
vi /etc/hosts.deny # デフォルト拒否 auditd: ALL
[root@dlp ~]#
vi /etc/hosts.allow # 許可ホストを設定 auditd: 10.0.0.51
|
| Sponsored Link |