413课堂练习《第十三章》配置系统日志

目录
413课堂练习《第一章》跟踪安全更新
413课堂练习《第二章》管理软件更新
413课堂练习《第三章》创建文件系统
413课堂练习《第四章》管理文件系统
413课堂练习《第五章》特殊权限管理
413课堂练习《第六章》管理附加文件权限
413课堂练习《第七章》监视文件系统变更
413课堂练习《第八章》管理用户账户
413课堂练习《第九章》管理PAM
413课堂练习《第十章》加强控制台安全
413课堂练习《第十一章》安装CA中心
413课堂练习《第十二章》管理CA中心
413课堂练习《第十三章》配置系统日志
413课堂练习《第十四章》配置系统审计
413课堂练习《第十五章》控制网络服务访问

课堂实验
1. 在serverX与desktopX上安装rsyslog-gnutls
[root@desktopX ~]# yum -y install rsyslog-gnutls
[root@serverX ~]# yum -y install rsyslog-gnutls

2. 检查serverX与desktopX的时钟，并同步
[root@desktopX ~]#  service ntpd stop ;  ntpdate instructor.example.com ;  service ntpd start
[root@serverX ~]#  service ntpd stop ; ntpdate instructor.example.com ; service ntpd start

3. 在desktopX上创建一个 用于签署主机证书的 CA证书
创建用于签署主机证书 的私匙
[root@desktopX ~]# certtool --generate-privkey --outfile ca-key.pem
[root@desktopX ~]# chmod 400 ca-key.pem
创建用于认证主机证书的CA证书
[root@desktopX ~]# certtool --generate-self-signed --load-privkey ca-key.pem --outfile  ca.pem
{CN, Red Hat Inc., Training, Beijing, Beijing, Red Hat Training CA Certificate, Enter, Enter, Enter, 3650, y, Enter, Enter, Enter, root@desktopX.example.com, y, Enter, Enter, Enter, Enter, Enter, Y}

4. 创建日志主机证书并签名
生成用于serverX的 主机私匙
[root@desktopX ~]# certtool --generate-privkey --outfile serverX-key.pem --bits  2048
生成日志服务主机要求的证书
[root@desktopX ~]# certtool --generate-request --load-privkey serverX-key.pem --outfile serverX-request.pem
{CN, Red Hat Inc., Training, Beijing, Beijing, serverX.example.com, Enter, Enter,  Enter, Enter, Enter, Enter, Enter, Enter, y, y}
使用CSR创建日志主机证书
[root@desktopX ~]# certtool --generate-certificate --load-request serverX-request.pem --outfile serverX-cert.pem --load-ca-certificate ca.pem --load-ca-privkey ca-key.pem
{Enter, 1000, Enter, Enter, y, y, serverX.example.com, Enter, Enter, Enter, Enter, Y}
签署主机证书后可删除CSR
[root@desktopX ~]# rm -f serverX-request.pem

5. 在serverX上创建目录/etc/rsyslog-keys，拷贝主机私匙、已签名的主机证书以及CA认证
[root@serverX ~]# mkdir /etc/rsyslog-keys
[root@desktopX ~]# scp serverX-*.pem ca.pem serverX:/etc/rsyslog-keys

6. 配置在serverX上的rsyslog服务，使之可以接受来自端口6514的连接
[root@serverX ~]# vim /etc/rsyslog.d/logging-server.conf
# make gtls driver the default
$DefaultNetstreamDriver gtls
# certificate files
$DefaultNetstreamDriverCAFile /etc/rsyslog-keys/ca.pem
$DefaultNetstreamDriverCertFile /etc/rsyslog-keys/serverX-cert.pem
$DefaultNetstreamDriverKeyFile /etc/rsyslog-keys/serverX-key.pem
$ModLoad imtcp # load TCP listener
$InputTCPServerStreamDriverMode 1             # run driver in TLS-only mode
$InputTCPServerStreamDriverAuthMode anon # client is NOT authenticated
$InputTCPServerRun 6514                           # listen on port 6514
[root@serverX ~]# service rsyslog restart

7. 配置作为客户端的desktopX，使之可以发送加密日志到serverX的6514端口
拷贝CA证书到SELinux允许rsyslog读的位置
[root@desktopX ~]# mkdir /etc/rsyslog-keys
[root@desktopX ~]# cp ca.pem /etc/rsyslog-keys
创建一个独立的配置文件，配置将日志发送到serverX的6514端口
[root@desktopX ~]# cat /etc/rsyslog.d/logging-client.conf
# certificate files - just CA for a client
$DefaultNetstreamDriverCAFile /etc/rsyslog-keys/ca.pem

# set up the action
$DefaultNetstreamDriver gtls                      # use gtls netstream driver
$ActionSendStreamDriverMode 1                # require TLS for the connection
$ActionSendStreamDriverAuthMode anon    # server is NOT authenticated
*.info @@(o)serverX.example.com:6514    # send (all) messages of info and above priority
[root@desktopX ~]# service rsyslog restart

Bug Fix： 配置文件不要包含任何注释项， lmnsd_gtls.so错误的官方解释是不能正确读取CA证书，可能需要在VI中重新编辑CA证书路径（即便看上去是正确的 ） 。

8. 确定远程日志的工作情况
[root@serverX ~]# tail -f /var/log/messages
[root@desktopX ~]# logger this is a test

课堂实验
1. 登录serverX，确定/var/log/lastlog的当前大小，此信息将用于创建此日志的轮询策略
[root@serverX log]# ls -l /var/log/lastlog

2. 创建日志轮询配置文件 /etc/logrotate.d/lastlog（适当放大尺寸）
[root@serverX log]# vim /etc/logrotate.d/lastlog
/var/log/lastlog
{
      size 200k
      compress
}

3. 手动执行每日的日志轮询作业，观察轮询情况（考虑日志未满）
[root@serverX log]# ls -l /var/log/lastlog*
[root@serverX log]# /etc/cron.daily/logrotate
[root@serverX log]# ls -l /var/log/lastlog*

4. 修改/etc/logrotate.d/lastlog中的规定尺寸，小于当前尺寸
[root@serverX log]# vim /etc/logrotate.d/lastlog
/var/log/lastlog
{
      size 100k
      compress
}

5. 再次手动执行每日的日志轮询作业，观察轮询情况
[root@serverX log]# ls -l /var/log/lastlog*
[root@serverX log]# /etc/cron.daily/logrotate
[root@serverX log]# ls -l /var/log/lastlog*

案例（部署一个安全的日志服务器）
首先清除日志客户端和服务端（重建虚拟机）状态
[root@desktopX ~]# rm -f /etc/rsyslog.d/*
[root@desktopX ~]# rm -rf /etc/rsyslog-keys
[root@desktopX ~]# service rsyslog restart
1. 在desktopX与serverX上安装rsyslog-gnutls
[root@desktopX ~]# yum -y install rsyslog-gnutls
[root@serverX ~]# yum -y install rsyslog-gnutls

2. 检查 desktopX与serverX时钟，并同步
[root@desktopX ~]# service ntpd stop ; ntpdate instructor.example.com ; service ntpd start
[root@serverX ~]# service ntpd stop ; ntpdate instructor.example.com ; service ntpd start

3. 在desktopX创建用于签署主机证书的CA证书
创建用于签署主机证书的私匙
[root@desktopX ~]# certtool --generate-privkey --outfile ca-key.pem
[root@desktopX ~]# chmod 400 ca-key.pem
创建用于认证主机证书的CA证书
[root@desktopX ~]# certtool --generate-self-signed --load-privkey ca-key.pem --outfile ca.pem
{CN, Red Hat Inc., Training, Beijing, Beijing, Red Hat Training CA Certificate, Enter, Enter, Enter, 3650, y, Enter, Enter, Enter, root@desktopX.example.com, y, Enter, Enter, Enter, Enter, Enter, Y}

4. 创建日志服务器主机证书并签名
生成用于serverX的主机私匙
[root@desktopX ~]# certtool --generate-privkey --outfile serverX-key.pem --bits 2048
生成日志服务主机要求的证书
[root@desktopX ~]# certtool --generate-request --load-privkey serverX-key.pem --outfile serverX-request.pem
{CN, Red Hat Inc., Training, Beijing, Beijing, serverX.example.com, Enter, Enter, Enter, Enter, Enter, Enter, Enter, Enter, y, y}
使用CSR创建日志主机证书
[root@desktopX ~]# certtool --generate-certificate --load-request serverX-request.pem --outfile serverX-cert.pem --load-ca-certificate ca.pem --load-ca-privkey ca-key.pem
{Enter, 1000, Enter, Enter, y, y, serverX.example.com, Enter, Enter, Enter, Enter, Y}
签署主机证书后可删除CSR
[root@desktopX ~]# rm -f serverX-request.pem

5. 在serverX上创建目录/etc/rsyslog-keys，拷贝主机私匙、已签名的主机证书以及CA认证
[root@serverX ~]# mkdir /etc/rsyslog-keys
[root@desktopX ~]# scp serverX-*.pem ca.pem serverX:/etc/rsyslog-keys

6. 配置在serverX上的rsyslog服务，使之可以接受来自端口6514的连接
[root@serverX ~]# vim /etc/rsyslog.d/logging-server.conf
# make gtls driver the default
$DefaultNetstreamDriver gtls
# certificate files
$DefaultNetstreamDriverCAFile /etc/rsyslog-keys/ca.pem
$DefaultNetstreamDriverCertFile /etc/rsyslog-keys/serverX-cert.pem
$DefaultNetstreamDriverKeyFile /etc/rsyslog-keys/serverX-key.pem
$ModLoad imtcp # load TCP listener
$InputTCPServerStreamDriverMode 1             # run driver in TLS-only mode
$InputTCPServerStreamDriverAuthMode anon # client is NOT authenticated
$InputTCPServerRun 6514                           # listen on port 6514
[root@serverX ~]# service rsyslog restart

7. 配置作为客户端的desktopX，使之可以发送加密日志到serverX的6514端口
拷贝CA证书到SELinux允许rsyslog读的位置
[root@desktopX ~]# mkdir /etc/rsyslog-keys
[root@desktopX ~]# cp ca.pem /etc/rsyslog-keys
创建一个独立的配置文件，配置将日志发送到serverX的6514端口
[root@desktopX ~]# cat /etc/rsyslog.d/logging-client.conf
# certificate files - just CA for a client
$DefaultNetstreamDriverCAFile /etc/rsyslog-keys/ca.pem

# set up the action
$DefaultNetstreamDriver gtls                     # use gtls netstream driver
$ActionSendStreamDriverMode 1               # require TLS for the connection
$ActionSendStreamDriverAuthMode anon   # server is NOT authenticated
*.info @@(o)serverX.example.com:6514    # send (all) messages of info and above priority
[root@desktopX ~]# service rsyslog restart

8. 确定远程日志的工作情况
[root@serverX ~]# tail -f /var/log/messages
[root@desktopX ~]# logger this is a test

9. 创建对远程日志/var/log/desktopX的rsyslog过滤规则
创建另一个配置文件使来自desktopX的信息只发往/var/log/desktopX/message
[root@serverX ~] # ls /etc/rsyslog.d/
[root@serverX ~] # vim /etc/rsyslog.d/remote-filter.conf
# process messages from desktopX
:fromhost, isequal, "desktopX.example.com"  /var/log/desktopX/messages
# then discard them
:fromhost, isequal, "desktopX.example.com" ~

10. 重启rsyslog，确认日志生成状态
[root@serverX ~]# service rsyslog restart
[root@serverX ~]# ls -l /var/log/desktopX/

11. 生成日志测试文本
[root@desktopX ~]# logger this is a filter test

12. 在服务器端确认日志生成
[root@serverX ~]# ls -l /var/log/desktopX/
[root@serverX ~]# cat /var/log/desktopX/messages

13. 列远程日志文件
[root@serverX ~]# ls -l /var/log/desktopX/

14. 创建新的日志轮询规则，日志文件的轮转应当基于尺寸，并压缩
[root@serverX ~]# vim /etc/logrotate.d/desktopX-logs
/var/log/desktopX/* {
    size 2k
    compress
    missingok
}

15. 确认新的 日志轮询规则对desktopX生效
[root@serverX ~]# /etc/cron.daily/logrotate
[root@serverX ~]# ls -l /var/log/desktopX/

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/24644775/viewspace-1255162/，如需转载，请注明出处，否则将追究法律责任。