1、各Unix平臺日志審計的配置方法和步驟1安裝部署方法和步驟21.1日志采集21.2Aix 6.1部署21.3Aix 5.3部署31.4Aix 5.2部署41.5Aix 4.3部署51.6Solaris 10部署61.7Solaris 9部署71.8Solaris 8部署81.9HPUX 11.23部署91.10HPUX 11.31部署101.11HPUX 11.11部署111.12suse 11部署131.13suse 10部署141.14suse 9部署151.15部署162/etc/syslog.conf中SSIM Syslog接收地址的確定183預(yù)制腳本的下載和執(zhí)行193.1預(yù)制腳本的下

2、載193.2AIX平臺自動配置腳本的執(zhí)行194各Unix平臺需要使用的腳本匯總201 安裝部署方法和步驟1.1 日志采集1.1.1 采集內(nèi)容根據(jù)日志審計的要求，我們重點關(guān)注用戶的登錄、登出行為和系統(tǒng)守護(hù)程序的運行狀態(tài)。基于此，我們主要采集Unix系統(tǒng)的一下syslog日志：n 用戶認(rèn)證、授權(quán)日志，包括用戶登錄、登出、切換等n 用戶認(rèn)證、授權(quán)日志，包括用戶登錄、登出、切換等，和auth功能類似，不同系統(tǒng)有所不同。n 系統(tǒng)守護(hù)進(jìn)程日志，比如ftp等n 用戶登錄成功和失敗的日志。1.1.2 采集方式n 對于Unix系統(tǒng)自帶的syslo

3、g日志，通過修改系統(tǒng)的syslog發(fā)送配置選項，由自身的syslog進(jìn)程，將日志發(fā)送到SSIM日志采集機n 對于登錄成功、失敗日志，有些操作系統(tǒng)syslog不產(chǎn)生該類日志，通過定期執(zhí)行腳本，讀取登錄日志文件，并發(fā)送到syslog進(jìn)程，由其統(tǒng)一轉(zhuǎn)發(fā)到SSIM日志采集機。1.2 Aix 6.1部署1.2.1 Syslog配置1 執(zhí)行chssys -s syslogd -a " " （由于做過安全加固，導(dǎo)致syslog發(fā)送不出來，需要通過該命令修改）2 修改/etc/syslog.conf文件，在最后增加以下內(nèi)容：tab<SSIM Syslog接收地址&g

4、t;tab<SSIM Syslog接收地址>tab<SSIM Syslog接收地址>保存配置注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整3 重啟syslogdstopsrc -s syslogdstartsrc -s syslogd1.2.2 Telnet成功登錄采集腳本部署1 增加采集日志腳本增加采集腳本wtmp.sh到/var/adm目錄下，wtmp.sh腳本內(nèi)容請參考文件wtmp.sh：修改wtmp.sh文件屬性，增加可執(zhí)行權(quán)限：chmod +x wtmp.sh2

5、增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 * * * * /var/adm/wtmp.sh >/dev/null 2>&11.2.3 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.3 Aix 5.3部署1.3.1 Syslog配置1 執(zhí)行chssys -s syslogd -a " " （由于做過安全加固，導(dǎo)致syslog發(fā)送不出來

6、，需要通過該命令修改）2 修改/etc/syslog.conf文件，在最后增加以下內(nèi)容：tab<SSIM Syslog接收地址>tab<SSIM Syslog接收地址>tab<SSIM Syslog接收地址>保存配置注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整3 重啟syslogdstopsrc -s syslogdstartsrc -s syslogd1.3.2 Telnet成功登錄采集腳本部署1 增加采集日志腳本增加采集腳本wtmp.sh

7、到/var/adm目錄下，wtmp.sh腳本內(nèi)容請參考文件wtmp.sh：修改wtmp.sh文件屬性，增加可執(zhí)行權(quán)限：chmod +x wtmp.sh2 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 * * * * /var/adm/wtmp.sh >/dev/null 2>&11.3.3 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.4 Aix 5.2部

8、署1.4.1 Syslog配置1 執(zhí)行chssys -s syslogd -a " " （由于做過安全加固，導(dǎo)致syslog發(fā)送不出來，需要通過該命令修改）2 修改/etc/syslog.conf文件，在最后增加以下內(nèi)容：tab<SSIM Syslog接收地址>tab<SSIM Syslog接收地址>tab<SSIM Syslog接收地址>保存配置注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整3 重啟syslogdstops

9、rc -s syslogdstartsrc -s syslogd1.4.2 Telnet成功登錄采集腳本部署1 增加采集日志腳本增加采集腳本wtmp.sh到/var/adm目錄下，wtmp.sh腳本內(nèi)容請參考文件wtmp.sh：修改wtmp.sh文件屬性，增加可執(zhí)行權(quán)限：chmod +x wtmp.sh2 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 * * * * /var/adm/wtmp.sh >/dev/null 2>&11.4

10、.3 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.5 Aix 4.3部署1.5.1 Syslog配置4 執(zhí)行chssys -s syslogd -a " " （由于做過安全加固，導(dǎo)致syslog發(fā)送不出來，需要通過該命令修改）5 修改/etc/syslog.conf文件，在最后增加以下內(nèi)容：tab<SSIM Syslog接收地址>tab<SSIM Syslog接收地址>tab<SSIM Syslo

11、g接收地址>保存配置注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整6 重啟syslogdstopsrc -s syslogdstartsrc -s syslogd1.5.2 Telnet成功登錄采集腳本部署3 增加采集日志腳本增加采集腳本wtmp.sh到/var/adm目錄下，wtmp.sh腳本內(nèi)容請參考文件wtmp.sh：修改wtmp.sh文件屬性，增加可執(zhí)行權(quán)限：chmod +x wtmp.sh4 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,

12、20,25,30,35,40,45,50,55 * * * * /var/adm/wtmp.sh >/dev/null 2>&11.5.3 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.6 Solaris 10部署1.6.1 Syslog配置1 修改系統(tǒng)login參數(shù)vi /etc/default/login取消SYSLOG和SYSLOG_FAILED_LOGINS的注釋，并設(shè)置相應(yīng)的參數(shù)：SYSLOG=YESSYSLOG_FAILED_LOGINS=02 vi /etc/syslog.con

13、f，在文件最后面增加以下兩行：<tab><SSIM Syslog接收地址><tab><SSIM Syslog接收地址>保存配置注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整3 重啟一下syslogd:svcadm restart /system/system-log1.6.2 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.7 Solaris 9部署1.7.1 Syslog配置1

14、 修改系統(tǒng)login參數(shù)vi /etc/default/login取消SYSLOG和SYSLOG_FAILED_LOGINS的注釋，并設(shè)置相應(yīng)的參數(shù)：SYSLOG=YESSYSLOG_FAILED_LOGINS=02 vi /etc/syslog.conf，在文件最后面增加以下兩行：<tab><SSIM Syslog接收地址><tab><SSIM Syslog接收地址>保存配置注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整3 重啟一下syslogd:/etc

15、/init.d/syslog stop /etc/init.d/syslog start1.7.2 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.8 Solaris 8部署1.8.1 Syslog配置1 修改系統(tǒng)login參數(shù)vi /etc/default/login取消SYSLOG和SYSLOG_FAILED_LOGINS的注釋，并設(shè)置相應(yīng)的參數(shù)：SYSLOG=YESSYSLOG_FAILED_LOGINS=02 vi /etc/syslog.conf，在文件最后面增加以下兩行：<tab

16、><SSIM Syslog接收地址><tab><SSIM Syslog接收地址>保存配置注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整3 重啟一下syslogd:/etc/init.d/syslog stop /etc/init.d/syslog start1.8.2 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.9 HPUX 11.23部署1.9.1 Syslog配置1. vi /etc/syslo

17、g.conf，在文件最后面增加以下兩行：<tab><SSIM Syslog接收地址><tab><SSIM Syslog接收地址>保存退出注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整2. 重啟一下syslogd: #/sbin/init.d/syslogd stop#/sbin/init.d/syslogd start1.9.2 Telnet成功登錄采集腳本部署1 增加采集日志腳本增加采集腳本wtmps.sh到/var/adm目錄下，wtmps.sh腳本內(nèi)容

18、請參考文件wtmps.sh:修改wtmps.sh文件屬性，增加可執(zhí)行權(quán)限：chmod +x wtmps.sh2 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 * * * * /var/adm/wtmps.sh >/dev/null 2>&11.9.3 Telnet失敗登錄采集腳本部署1 增加采集日志腳本增加采集腳本btmps.sh到/var/adm目錄下，btmps.sh腳本內(nèi)容請參考文件btmps.sh:修改btmps.sh文件屬性，

19、增加可執(zhí)行權(quán)限：chmod +x btmps.sh2 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 * * * * /var/adm/btmps.sh >/dev/null 2>&11.9.4 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.10 HPUX 11.31部署1.10.1 Syslog配置1. vi /etc/syslog.conf，在文件最后面

20、增加以下兩行：<tab><SSIM Syslog接收地址><tab><SSIM Syslog接收地址>保存退出注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整2. 重啟一下syslogd: #/sbin/init.d/syslogd stop#/sbin/init.d/syslogd start1.10.2 Telnet成功登錄采集腳本部署1 增加采集日志腳本增加采集腳本wtmps.sh到/var/adm目錄下，wtmps.sh腳本內(nèi)容請參考文件wtmps.s

21、h:修改wtmps.sh文件屬性，增加可執(zhí)行權(quán)限：chmod +x wtmps.sh2 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 * * * * /var/adm/wtmps.sh >/dev/null 2>&11.10.3 Telnet失敗登錄采集腳本部署1 增加采集日志腳本增加采集腳本btmps.sh到/var/adm目錄下，btmps.sh腳本內(nèi)容請參考文件btmps.sh:修改btmps.sh文件屬性，增加可執(zhí)行權(quán)限：chm

22、od +x btmps.sh2 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 * * * * /var/adm/btmps.sh >/dev/null 2>&11.10.4 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.11 HPUX 11.11部署1.11.1 Syslog配置1. vi /etc/syslog.conf，在文件最后面增加以下兩行：aut

23、<tab><SSIM Syslog接收地址><tab><SSIM Syslog接收地址>保存退出注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整2. 重啟一下syslogd: #/sbin/init.d/syslogd stop#/sbin/init.d/syslogd start1.11.2 Telnet成功登錄采集腳本部署1 增加采集日志腳本增加采集腳本wtmp.sh到/var/adm目錄下，wtmp.sh腳本內(nèi)容請參考文件wtmp.sh:修改wtmp.sh文件

24、屬性，增加可執(zhí)行權(quán)限：chmod +x wtmp.sh2 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 * * * * /var/adm/wtmp.sh >/dev/null 2>&11.11.3 Telnet失敗登錄采集腳本部署1 增加采集日志腳本增加采集腳本btmp.sh到/var/adm目錄下，btmp.sh腳本內(nèi)容請參考文件btmp.sh:修改btmp.sh文件屬性，增加可執(zhí)行權(quán)限：chmod +x btmp.sh2 增加cro

25、ntab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 * * * * /var/adm/btmp.sh >/dev/null 2>&11.11.4 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.12 suse 11部署1.12.1 Syslog配置1 vi /etc/syslog-ng/syslog-ng.conf.in 在最后面增加：destination ssimlog

26、host udp("<SSIM Syslog接收地址>" port(514);filter auth_daemon facility(auth, authpriv, daemon); ;log source(src);filter(auth_daemon);destination(ssimloghost);保存退出注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整2 重啟syslog-ng:/etc/init.d/syslog start1.12.2 Telnet成功登錄采集腳本部署1 增加采集日志腳本增加采集腳本w

27、tmp.sh到/var/adm目錄下，wtmp.sh腳本內(nèi)容請參考文件wtmp.sh:修改wtmp.sh文件屬性，增加可執(zhí)行權(quán)限：chmod +x wtmp.sh2 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 * * * * /var/adm/wtmp.sh >/dev/null 2>&11.12.3 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.13

28、suse 10部署1.13.1 Syslog配置3 vi /etc/syslog-ng/syslog-ng.conf.in 在最后面增加：destination ssimloghost udp("<SSIM Syslog接收地址>" port(514);filter auth_daemon facility(auth, authpriv, daemon); ;log source(src);filter(auth_daemon);destination(ssimloghost);保存退出注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集

29、機所處的網(wǎng)段進(jìn)行調(diào)整4 執(zhí)行命令SuSEconfig -module syslog-ng5 重啟syslog-ng:/etc/init.d/syslog start1.13.2 Telnet成功登錄采集腳本部署3 增加采集日志腳本增加采集腳本wtmp.sh到/var/adm目錄下，wtmp.sh腳本內(nèi)容請參考文件wtmp.sh:修改wtmp.sh文件屬性，增加可執(zhí)行權(quán)限：chmod +x wtmp.sh4 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25,30,35,40,45,50,55 *

30、* * * /var/adm/wtmp.sh >/dev/null 2>&11.13.3 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.14 suse 9部署1.14.1 Syslog配置1 vi /etc/syslog.conf，在文件最后面增加以下三行：<tab><SSIM Syslog接收地址><tab><SSIM Syslog接收地址><tab><SSIM

31、 Syslog接收地址>保存退出注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整2 重啟一下syslogd:/sbin/rcsyslog restart1.14.2 Telnet成功登錄采集腳本部署1 增加采集日志腳本增加采集腳本wtmp.sh到/var/adm目錄下，wtmp.sh腳本內(nèi)容請參考文件wtmp.sh:修改wtmp.sh文件屬性，增加可執(zhí)行權(quán)限：chmod +x wtmp.sh2 增加crontab執(zhí)行任務(wù)以root用戶登錄系統(tǒng)，執(zhí)行crontab e增加以下crontab任務(wù),每5分鐘執(zhí)行一次：0,5,10,15,20,25

32、,30,35,40,45,50,55 * * * * /var/adm/wtmp.sh >/dev/null 2>&11.14.3 部署結(jié)果測試在主機側(cè)進(jìn)行telnet登錄成功和失敗測試，在SSIM側(cè)進(jìn)行日志收集和解析監(jiān)控，確保日志能夠及時發(fā)送并成功解析。1.15 SCO 部署1.15.1 Syslog配置1. vi /etc/syslog.conf，在文件最后面增加以下三行：<tab><SSIM Syslog接收地址><tab><SSIM Syslog接收地址><tab><SSIM Syslog接收地址>保存退出注：<SSIM Syslog接收地址>，根據(jù)服務(wù)器和SSIM采集機所處的網(wǎng)段進(jìn)行調(diào)整2. 重啟一下