主页 / server / 问题 / 885661
Accepted
sherpaurgen
Asked: 2017-11-30 00:31:21 +0800 CST

如何阻止 syslog 或 auditd/audisp 将主机信息添加到转发的日志文件？[复制]

  • 772

我已将 auditd 日志文件转发到中央日志服务器，但在中央日志服务器收到的日志添加了我不想要的额外信息。注意（auditd 和 syslog 位于同一台服务器上，其中 auditd 将 auditd 日志事件转发到其本地 syslog（local6 设施），本地 syslog 会将 local6.* 发送到中央日志服务器）

这是在中央日志服务器收到的日志，其中此“ <182>Nov 29 14:04:16 ubuntu audispd: node=ubuntu”由 syslog（在日志源）或 audisp（在日志源）附加

(auditd-->syslog-->) --> centralSyslog

<182>Nov 29 14:04:16 ubuntu audispd: node=ubuntu type=SYSCALL msg=audit(1511943556.347:424): arch=c000003e syscall=2 success=yes exit=3 a0=2647ca8 a1=90800 a2=2648317 a3=20 items=1 ppid=2726 pid=2727 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts1 ses=4 comm="bash" exe="/bin/bash" key="log_sec"
<182>Nov 29 14:04:16 ubuntu audispd: node=ubuntu type=CWD msg=audit(1511943556.347:424):  cwd="/tmp"
<182>Nov 29 14:04:16 ubuntu audispd: node=ubuntu type=PATH msg=audit(1511943556.347:424): item=0 name="/opt/secret_dir/" inode=918715 dev=fc:00 mode=040755 ouid=0 ogid=0 rdev=00:00 nametype=NORMAL
<182>Nov 29 14:04:16 ubuntu audispd: node=ubuntu type=PROCTITLE msg=audit(1511943556.347:424): proctitle="bash"

实际的日志文件如下所示：-

type=SYSCALL msg=audit(1511943489.078:423): arch=c000003e syscall=263 success=yes exit=0 a0=ffffff9c a1=12480c0 a2=0 a3=15e items=2 ppid=2727 pid=19367 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts1 ses=4 comm="rm" exe="/bin/rm" key="log_sec"
type=CWD msg=audit(1511943489.078:423):  cwd="/tmp"
type=PATH msg=audit(1511943489.078:423): item=0 name="/opt/secret_dir/" inode=918715 dev=fc:00 mode=040755 ouid=0 ogid=0 rdev=00:00 nametype=PARENT
type=PATH msg=audit(1511943489.078:423): item=1 name="/opt/secret_dir/password.txt" inode=918727 dev=fc:00 mode=0100644 ouid=0 ogid=0 rdev=00:00 nametype=DELETE
type=PROCTITLE msg=audit(1511943489.078:423): proctitle=726D002D7266002F6F70742F7365637265745F6469722F70617373776F72642E747874
type=SYSCALL msg=audit(1511943556.347:424): arch=c000003e syscall=2 success=yes exit=3 a0=2647ca8 a1=90800 a2=2648317 a3=20 items=1 ppid=2726 pid=2727 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts1 ses=4 comm="bash" exe="/bin/bash" key="log_sec"
type=CWD msg=audit(1511943556.347:424):  cwd="/tmp"
type=PATH msg=audit(1511943556.347:424): item=0 name="/opt/secret_dir/" inode=918715 dev=fc:00 mode=040755 ouid=0 ogid=0 rdev=00:00 nametype=NORMAL
type=PROCTITLE msg=audit(1511943556.347:424): proctitle="bash"

我的 audisp 配置文件如下所示（在 LogSource server1）

cat /etc/audisp/plugins.d/syslog.conf | grep -v "#"

active = yes
direction = out
path = builtin_syslog
type = builtin 
args = LOG_LOCAL6
format = string

rsyslog 配置文件如下所示（在源日志服务器 1）

猫 /etc/rsyslog.d/50-default.conf

 ..
local6.*     @@192.168.8.147:6161
linux

1 个回答

  1. Best Answer

    您可以通过为消息定义自己的模板来在发送系统日志中抑制这种情况。例如，添加到您.conf的行

    $template newmsg,"%msg:R,ERE,1:.* node=ubuntu (.*)--end%\n"

    然后在操作中使用它：

    local6.*     @@192.168.8.147:6161; newmsg

    有关 regexp 属性替换器的说明，请参阅我以前的帖子。

    • 0

相关问题