kiwi syslog server使用方法

搭建rsyslog⽇志服务器

环境配置

centos7系统 client1：192.168.91.17

centos7系统 master：192.168.91.18

rsyslog客户端配置

1、rsyslog安装

yum install rsyslog

2、启⽤UDP进⾏传输

vim /etc/rsyslog.conf

# Provides UDP syslog reception #若启⽤UDP进⾏传输，则取消下⾯两⾏的注释

$ModLoad imudp

$UDPServerRun 514

# Provides TCP syslog reception #若启⽤TCP进⾏传输，则取消下⾯两⾏的注释

#$ModLoad imtcp

#$InputTCPServerRun 514

*.* @192.168.28.149:514 #若启⽤TCP传输则使⽤@@，若是UDP则使⽤@

3、重启rsyslog服务

systemctl restart rsyslog

rsyslog服务端配置

1、启⽤UDP/TCP进⾏传输

vim /etc/rsyslog.conf

# Provides UDP syslog reception #若启⽤UDP进⾏传输，则取消下⾯两⾏的注释

$ModLoad imudp

$UDPServerRun 514

# Provides TCP syslog reception #若启⽤TCP进⾏传输，则取消下⾯两⾏的注释

#$ModLoad imtcp

#$InputTCPServerRun 514

2、重启rsyslog服务

systemctl restart rsyslog

测试服务是否能够将客户端的系统⽇志传回服务端

1、在服务端不间断输出系统⽇志⽂件

tailf /var/log/messages

第⼆：在客户端使⽤logger⽣成测试⽇志信息（并查看服务器端输出，判断是否通过⽹络将⽇志收集到了）

logger "rsyslog test"

　搭建⼀个基于Unix系统的蜜罐络相对说来需要⽐较多系统维护和络安全知识的基础，但是做⼀个windows系统的蜜罐的门槛

就⽐较低，今天我们就⼀起尝试搭建⼀个windows下的蜜罐系统。

由于win和Unix系统不⼀样，我们很难使⽤有效的⼯具来完整的追踪⼊侵者的⾏为，因为win下有各式各样的远程管理软

件（VNC，remote-anything），⽽对于这些软件，⼤部分杀毒软件是不查杀他们的，⽽我们也没有象LIDS那样强⼤的⼯具来

控制Administrator的权限，相对⽽⾔，蜜罐的风险稍微⼤了点，⽽且需要花更加多的时间和精⼒。

先介绍⼀下我们需要的软件

vpc Virtual pc，他是⼀个虚拟操作系统的软件，当然你也可以选择vmware.

ActivePerl-5.8.0.805-MSWin32-x86.msi windows下的perl解析器

evtsys_exe.zip ⼀个把系统⽇志发送到log服务器的程序

comlog101.zip ⼀个⽤perl写的偷偷记录cmd.exe的程序，不会在进程列表中显⽰， 因为⼊侵者运⾏的的确是cmd.exe :)

Kiwi_Syslog_Daemon_7 ⼀个很专业的⽇志服务器软件

norton antivirus enterprise client 我最喜欢的杀毒软件，⽀持win2k server。 当然，如果你觉得其他的更加适合你，你有

权选择

ethereal-setup-0.9.8.exe Ethereal的windows版本，Ethereal是*nix下⼀个 很出名的sniffer，当然，如果你已经在你的honeynet中布置好了

sniffer,这个⼤可不必了，但是本⽂主要还是针对Dvldr 蠕⾍的，⽽且ethereal的 decode功能很强，⽤他来获取irc MSG很

不错的

WinPcap_3_0_beta.exe ethereal需要他的⽀持。

i

InHand IR300系列工业级路由器

用户手册

资料版本：V1.2—2022.010

ii

声明

首先非常感谢您选择本公司产品！在使用前，请您仔细阅读本用户手册。 非本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式传播。 由于不断更新，本公司不能承诺该资料与实际产品一致， 同时也不承担由于实际技术参数与本资料不符所导致的任何争议，任何改动恕不提前通知。本公司保留最终更改权和解释权。 版权所有©北京映翰通网络技术股份有限公司及其许可者版权所有，保留一切权利。

本手册图形界面约定 格 式 意 义

< > 带尖括号“< >”表示按钮名，如“单击按钮”。

“” 带双引号“”表示窗口名、菜单名，如：弹出“新建用户”窗口。 >> 多级菜单用“>>”隔开。如“文件>>新建>>文件夹”多级菜单表示“文件”菜单下的“新建”子菜单下的“文件夹”菜单项。

提醒操作中应注意的事项，不当的操作可能会导致数据丢失或者设备损坏。

对操作内容的描述进行必要的补充和说明。

技术支持联络信息

北京映翰通网络技术股份有限公司（总部） 地址：北京市朝阳区紫月路18号院3号楼5层 电话：（8610）6439 1099 传真：（8610）8417 0089

成都办事处 电话：************地址：四川省成都市高新区府城大道西段399号，天府新谷10栋1406室

广州办事处 电话：************地址：广州市天河区棠东东路5号远洋新三板创意园B-130单元

武汉办事处 电话：************地址：湖北省武汉市洪山区珞瑜东路2号巴黎豪庭11栋2001室

上海办事处 电话： ************地址：上海市普陀区顺义路18号1103室

I

目 录 一、设备简介 .................................. 1

1.1 概述 ............................................................................................................................................. 1

rsyslog 发送与接收日志 -回复

如何使用 rsyslog 发送与接收日志

1. 什么是 rsyslog？

rsyslog 是一个强大的日志处理工具，用于在各种操作系统中收集、处理和转发日志数据。它可用于发送和接收系统日志，以及应用程序和服务生成的各种日志。

2. rsyslog 的基本原理是什么？

rsyslog 的基本原理是提供一种机制，使不同的设备和应用程序能够将生成的日志数据发送到指定的目的地。它利用系统上的不同模块和插件，可以通过不同的协议和传输方式发送和接收日志数据。

3. 如何配置 rsyslog 以发送日志？

首先，我们需要编辑 rsyslog 的配置文件，通常位于 /etc/rsyslog.conf

或 /etc/rsyslog.d 目录下。在配置文件中，我们可以指定要发送的日志文件路径和目标服务器的详细信息。例如，要将 /var/log/messages 文件的日志发送到远程服务器，可以添加以下配置：

# Send /var/log/messages to a remote server

/var/log/messages @remote_server_ip:514

在配置中，@ 符号表示要发送到远程服务器，后跟服务器的 IP 地址和端口号。您还可以在配置中指定协议，如 TCP 或 UDP。

完成配置后，我们需要重启 rsyslog 服务以使配置生效。使用以下命令重启 rsyslog 服务：

sudo service rsyslog restart

现在，所有的日志条目将被发送到指定的远程服务器。

4. 如何配置 rsyslog 以接收日志？

要配置 rsyslog 以接收来自其他设备和应用程序的日志，我们需要在接收服务器上进行一些配置。首先，确保 rsyslog 服务已经安装并运行。

然后，我们需要编辑接收服务器上的 rsyslog 配置文件。在配置文件中找到以下行：