主页 / server / 问题

问题[nxlog](server)

Martin Hope
Appleoddity
Asked: 2022-01-06 15:17:46 +0800 CST
  • 1

我在此处遵循 NXLog 的说明：https ://nxlog.co/documentation/nxlog-user-guide/linux-logs.html#linux_logs_forwarding_socket_example在 80.2 下关于将 syslog 消息转发到 NXLog。

它特别指出要重新启动 NXLog，然后重新启动 rsyslog，以便 NXlog 可以在 rsyslog 尝试写入之前创建套接字。

我的问题是，在重新启动期间，在不同版本的 Linux 中，哪个服务将首先启动是不明确的，我的猜测是 syslog 可能首先启动。如果 rsyslog 在 nxlog 之前启动会发生什么？rsyslog 会在 nxlog 启动并创建后恢复并开始写入套接字吗？

rsyslog nxlog
Martin Hope
armani
Asked: 2017-03-08 10:32:11 +0800 CST
  • 1

我的 Windows 服务器上有 nxlog，将日志发送到 Logstash（JSON 格式）。我想将安全事件克隆到 SIEM，因此我添加了捕获某些 Windows 事件 ID 的逻辑：

Logstash 配置

即使应用了“Windows 事件日志”标签（通过“add_tag”），也从未添加过“Windows 安全事件”，即使我查看日志并找到像 4624 这样的 EventID。

以下是完整的纯文本 logstash.conf 供参考：

input {tcp{port=>1514}}
filter {
        if "im_msvistalog" in [message] {
                json {source => "message"}
                mutate {add_tag => "Windows Event Log"}
                if [EventID]=="4688" or [EventID]=="592" or [EventID]=="4624" or [EventID]=="528" or [EventID]=="540" or [EventID]=="5140" or [EventID]=="560" or [EventID]==5156 or [EventID]=="7045" or [EventID]=="601" or [EventID]=="4663" or [EventID]=="567" { 
                        mutate {add_tag => "Windows Security Event"}
                }
        }
}
output {stdout{codec=>rubydebug}}

编辑：这是输出的样子： 在此处输入图像描述

configuration nxlog logstash
Martin Hope
Eric
Asked: 2017-01-17 10:47:15 +0800 CST
  • 0

我目前在各种域控制器上运行 NxLog，以提取登录/注销事件。

Exec if $TargetUserName =~ /(\S+\$|user1|user2|user3|user4)/ drop(); \
     else if ($EventID == 4624 or $EventID == 4625 or $EventID == 4648 or $EventID == 4768) $raw_event = "Time:" + $EventTime + ", EventID:" + $EventID + ", Keyword:" + $Status + ", LogonType:" + $LogonType + ", User:" + $TargetDomainName + "\\" + $TargetUserName + ", IPAddr:" + $IPAddress; \
     else if $raw_event =~ /^(.+)(Detailed Authentication Information:|Additional Information:)/ $raw_event = $1; if $raw_event =~ s/\t/  /g {}

虽然上面的配置工作正常，但事实上它忽略了带有 $ 的用户名以及我指定的用户名，我只想忽略其中包含这些用户名的事件 id 4624，所以我仍然可以看到失败的登录。我认为以下配置可以工作，但我不断收到语法错误。

Exec if ($EventID == 4624 and $TargetUserName =~ /(\S+\$|user1|user2|user3|user4)/ drop(); \
     else if ($EventID == 4624 or $EventID == 4625 or $EventID == 4648 or $EventID == 4768) $raw_event = "Time:" + $EventTime + ", EventID:" + $EventID + ", Keyword:" + $Status + ", LogonType:" + $LogonType + ", User:" + $TargetDomainName + "\\" + $TargetUserName + ", IPAddr:" + $IPAddress; \
     else if $raw_event =~ /^(.+)(Detailed Authentication Information:|Additional Information:)/ $raw_event = $1; if $raw_event =~ s/\t/  /g {}

任何帮助将不胜感激。

编辑：为了完整起见，下面是我的最终配置，以排除其中包含 $ 的用户名，然后在各种我不关心的健谈的帐户上成功/Kerb 事件。

Exec if $TargetUserName =~ /(\S+\$)/ drop(); \
     else if ($EventID == 4624 and $TargetUserName =~ /(user1|user2|user3|user4)/) drop(); \
     else if ($EventID == 4648 and $TargetUserName =~ /(user1|user2|user3|user4)/) drop(); \
     else if ($EventID == 4624 or $EventID == 4625 or $EventID == 4648 or $EventID == 4768) $raw_event = "Time:" + $EventTime + ", EventID:" + $EventID + ", Keyword:" + $Status + ", LogonType:" + $LogonType + ", User:" + $TargetDomainName + "\\" + $TargetUserName + ", IPAddr:" + $IPAddress; \
     else if $raw_event =~ /^(.+)(Detailed Authentication Information:|Additional Information:)/ $raw_event = $1; if $raw_event =~ s/\t/  /g {}
windows logging nxlog
Martin Hope
ServerMonkey
Asked: 2016-05-27 22:48:22 +0800 CST
  • 0

希望收集写入 MSSQL Server 表的日志信息，并使用 nxlog 或类似方法将其转发到 Graylog。

我看到了很多关于使用 nxlog 检查日志的信息，但没有与如何做到这一点有关，有人知道这是否可能吗？

nxlog