[Linux] rsyslog와 rsync

rsyslog, rsync

시스템 로그확인하여 

실시간 로그 모니터링 수행

새로 로그인하게 되면 

로그인 세션이 들어오는 것을 확인함

 

시스템 부팅 과정에서

발생한 로그를 출력함

부팅 초기화, 서비스 시작, 하드웨어 장치 인식,

부팅 중 발생한 오류, 경고 메시지 등 포함

 

Cron 서비스와 관련된 로그파일 출력

작업 시작 및 종료, 실행한 명령어,

작업 성공 또는 실패여부, 사용자 정보 등

 

로그 파일을 주기적으로 회전시킴

매일 자동으로 로그파일을 관리함

로그 파일 크기 관리, 디스크 절약,

압축 및 삭제, 오래된 로그 파일 관리 등

 

개별적인 로그 회전 설정을 저장

매일, 매주, 매월 등 주기적으로 실행됨

압축, 삭제, 새 로그 파일 생성 등 자동임

 

로그인, 로그아웃 정보 로그

로그인한 사용자, 로그인한 터미널,

IP 주소, 로그인 시간, 시스템 부팅 등

로그인/로그아웃 기록과

시스템 부팅/종료 이벤트를 저장

 

사용중인 사용자 로그

현재 로그인한 사용자 세션에 대한 파일

사용자 이름, 터미널, 로그인 시간,

프로세스 ID(PID), 로그인 종류 등

 

로그인 실패 로그

잘못된 로그인 시도를 추적하는데 사용

무차별 대입 공격, 잘못된 PW 시도 등

보안 모니터링 및 침입 탐지 역할

 

시스템에서 실행된 명령어 기록을 조회

시스템 감사 및 보안 추적을 위해 사용

 

rsyslog 설치해야함 (생략)

module 행 : 로그 수집, 입력 모듈을 로드

input 행 : 로그 메시지를 수신 구성

UDP 514 번 포트 : 시스템 로그를 수집

 

UDP 514번 포트로 보내는 syslog

메시지를 rsyslog가 수집하고 처리

 

설정 후 데몬 실행, 포트 514번 확인

 

514/udp 포트의 방화벽을 열어줌

 

*.* : 모든 로그 레벨과 모든 시설

서버2에서 발생한 모든 로그를 UDP 포트

514를 통해 IP주소 192.168.10.10인

원격 서버로 전송하는 설정임

 

중앙 집중식 로그 관리, 보안, 로그분석,

규정 준수 등을 목적으로 로그 수집 및 관리함

 

서버 1 : tail -f /var/log/messages

서버 2에서 hanpil_linux 메시지를 

시스템 로그에 기록함.

모든 로그를 원격서버(서버1)에

전송시켰기 때문에 원격서버에 로그 뜸

 

서버 2에서 rsync를 설치하고 

데몬 실행 후 873번 포트 확인

 

rsync : 파일 및 디렉토리 동기화

-a : 아카이브 모드 (파일 복사)

-v : 상세 모드 (자세히 출력)

     -z : 압축을 사용 (대역폭 절약)

--progress : 진행 상태 확인

 

원격지에 있는 /var/log/ 디렉토리에

있는 모든 파일을 로컬 시스템의

20 디렉토리로 복사

 

20 디렉토리에 이동 후

하위 디렉토리 및 파일 확인

 

서버 2에서 내용이 있는 파일을 추가

 

원격지에서 hanpil 내용의 

파일을 백업된 것을 확인

 

서버 2에서 삭제를 했을 경우

 

원격지에서는 최신화를 해도

삭제가 되지 않음

 

--delete 옵션을 주어 삭제해야함

*하지만 삭제는 반드시 주의*

rsync는 history 기능을 하고 있어서

서버에서는 로그를 계속 확인해야 함

삭제된 파일은 복구X, 미리 백업 중요

 

date 명령어를 사용하여 날짜와

시간을 저장하고 백업을 로그파일에

기록하는 스크립트 작성

 

디렉토리를 로컬 서버의 

백업 디렉토리로 동기화 역할

 

최신화한 내용한 원격지의 결과