Linux Syslog与防火墙集成方法

在Linux操作系统里，Syslog与防火墙的整合可通过设定防火墙规则来追踪特定的网络行为日志，这有助于提升系统的安全性及审计能力。以下是几种常用的实现方式：

利用iptables设置Syslog记录

1. 检查现有的防火墙规则：

    sudo iptables -L -n -v

2. 创建规则以记录选定端口的行为：

   比如，记录SSH（端口22）以及HTTP（端口80）的行为规则如下：

    sudo iptables -A INPUT -p tcp --dport 22 -j LOG --log-prefix "SSH: "
    sudo iptables -A INPUT -p tcp --dport 80 -j LOG --log-prefix "HTTP: "

   这些规则会让相关的网络活动信息被写入Syslog，并且利用--log-prefix选项添加前缀便于辨识日志来源。

3. 保存防火墙规则：

   使用以下指令保存当前的iptables规则，确保在系统重启后依然生效：

    sudo iptables-save > /etc/iptables/rules.v4

4. 调整Syslog以处理iptables日志：

   编辑/etc/rsyslog.conf文件，加入或核实以下内容：

    :msg, contains, "SSH" -/var/log/iptables.log
    :msg, contains, "HTTP" -/var/log/iptables.log

   这样会把带有"SSH"或"HTTP"前缀的日志条目储存到/var/log/iptables.log文件中。

5. 重新加载Syslog配置：

    sudo systemctl reload rsyslog

借助firewalld设置Syslog记录

1. 安装firewalld（如果还未安装）：

   

   Bandy AI

   全球领先的电商设计Agent

   下载

    sudo apt-get install firewalld  # 针对Debian系系统
    sudo yum install firewalld  # 针对Red Hat系系统

2. 启动并激活firewalld服务：

    sudo systemctl start firewalld
    sudo systemctl enable firewalld

3. 设定firewalld以记录特定活动：

   使用firewall-cmd命令添加规则并指定日志记录：

    sudo firewall-cmd --permanent --add-rich-rule='rule protocol value="tcp" port port="22" accept'
    sudo firewall-cmd --permanent --add-rich-rule='rule protocol value="tcp" port port="80" accept'

   上述规则将会记录通过SSH和HTTP端口的数据流。

4. 重新加载firewalld配置：

    sudo firewall-cmd --reload

5. 配置Syslog以记录firewalld日志：

   编辑/etc/rsyslog.conf文件，加入或确认以下行：

    :msg, contains, "firewalld" -/var/log/firewalld.log

   这会把包含"firewalld"的日志条目写入/var/log/firewalld.log文件。

6. 重新加载Syslog配置：

    sudo systemctl reload rsyslog

通过以上步骤，您可以将Linux防火墙的活动日志传递给Syslog，从而让系统管理员能够更轻松地监控和评估系统的安全性。