[정보보안기사] 리눅스 syslog 설정 및 관리

* syslog 설정 및 관리

- syslog API를 이용하여 로그를 남길 수 있으며, API를 생성하면 syslogd(로그데몬)가 syslog.conf 설정파일을 참조하여 로그를 남긴다.

(로그파일, 콘솔, 외부서버 로 로그를 남길 수 있음)

syslog.conf 구성

=> facility.priority;facility.priority;facility.priority;... action(로그파일 위치)

514 UDP PORT(syslog 포트) 사용

facility, priority, action의 의미

facility

---

- 로그 생성 서비스

priority 

---

- 로그 수준(Level)

Level	내용
emergenecy(emerg)	시스템이 전면 중단되는 패닉 상태, 전체 공지가 필요한 상황 System is unusable
alert(alert)	즉각적인 조치가 필요한 상황(시스템 데이터베이스 오류 등)  action must be taken immediately
critical(crit)	하드웨어 등의 심각한 오류가 발생한 상황 critical condition
error(err)	일반적인 에러/오류가 발생한 상황 error condition
warning(warning)	경고 메시지 warning condition
notice(notice)	에러/오류는 아니지만 관리자의 조치가 필요한 상황 normal, but significant condition
information(info)	의미 있는 정보 관련 메시지 information message
debug(debug)	디버깅용 메시지 debug-level message

* facility에 로그 수준을 지정하게 되면 해당 수준이상의 상황이 발생했을 때 로그가 남게 된다.

action 

---

- 로그를 어디에 남길 것인지를 결정 ( 로그파일, 콘솔, 원격 로그 서버, 특정 사용자 등에 로그를 남길 수 있음)

로그파일일 경우 => "경로지정 ex) /var/log/secure"

콘솔 일 경우 => "/dev/console"

원격 로그 서버일 경우 => "@호스트주소 (@192.168.1.1)"

지정된 사용자 스크린에 출력 => "user ID"

현재로그인되어 있는 모든 사용자의 스크린에 메시지 보냄 => "*"

syslog.conf 사용예

---

/etc/rsyslog.conf  

*.* @192.168.0.1 

=> 원격 syslog 서버에 log를 남기겠다.

/etc/syslog.conf

kern.* /dev/console

=> 커널 관련 로그를 콘솔(/dev/console)에 출력

*.info; mail.none; authpriv.none; cron.none /var/log/messages

=> 모든 서비스에 대한 info 수준 이상의 로그를 /var/log/messages에 기록하되, mail authpriv cron 서비스에 대해서는 기록하지 말아라(none)

authpriv.* /var/log/secure

=> authpriv에 속하는 서비스(xinted, telnet, ftp, finger 등)의 모든 로그를 /var/log/secure에 기록해라

*** 로그 순환 ***

/usr/sbin/logrotate (데몬의 위치 및 데몬 프로그램)

/etc/logrotate.conf (설정 파일)

logrotate는 시스템 로그파일에 대하여 로테이트, 압축 또는 메일을 발송해주는 리눅스 시스템 로그파일 관리기이다.