Удаленное протоколирование

Демон syslogd, ответственный за протоколирование работы системы, может быть сконфигурирован так, чтобы файлы протоколов копировались на удаленную машину. Очевидно, что пользователю, работающему на домашнем компьютере, нет необходимости усложнять конфигурацию системы. Компьютеры, расположенные в DMZ, поддерживают работу различных служб. Если все файлы протоколов копируются на одну машину, это, во-первых, упрощает администрирование сети, а во-вторых, позволяет сохранить протоколы, если один из узлов сети будет взломан.

Взломав систему, хакер, как правило, пытается удалить файлы протоколов, а также заменить системные утилиты «троянскими конями», которые позволят ему в дальнейшем проникать в систему, не оставляя следов. Таким образом, именно в тот момент, когда файлы протоколов необходимы вам, вы увидите, что они либо отсутствуют, либо отредактированы взломщиком. Удаленное протоколирование позволяет сохранить важную информацию о системе по крайней мере до тех пор, пока хакер не заменит демон, осуществляющий протоколирование, своей копией.

Чтобы информация о системе копировалась на удаленный узел, надо внести изменение в конфигурацию средств протоколирования как на локальном, так и на удаленном компьютере.

На удаленной машине, предназначенной для сбора данных, необходимо отредактировать сценарий /etc/rc.d/init.d/syslog и включить в состав выражения, используемого для вызова syslogd, опцию -r. Эта опция указывает демону syslogd ожидать UDP-обращения по порту 514 и принимать файлы протоколов.

На локальном компьютере, где производится протоколирование, надо отредактировать конфигурационный файл /etc/syslog. conf, используемый для настройки демона syslogd. В этот файл следует добавить записи, определяющие, какая информация должна быть передана на удаленный узел. Так, например, следующая строка указывает на то, что все данные должны быть скопированы на узел hostname.