如何通过rsyslog将日志发送到远程日志服务器？

Question

我对ossim很新.我已经将ossim 3.1安装到虚拟机(vmware)上

我有两个问题:

1)我从ossim-setup启用了SYSLOG.现在我在ANALYSIS-> SIEM中获得大量的系统日志消息.如何修改日志记录率？我该如何管理syslog配置？我找了syslog conf文件,但没有.我只能找到rsyslog文件.如果我这样做的话

alienvault:~# ps aux | grep sys
root      3481  0.1  0.0   2492  1416 ?        S    08:51   0:12 /var/ossec/bin/ossec syscheckd
root      5951  0.0  0.0  35512  1416 ?        Sl   08:58   0:00 /usr/sbin/rsyslogd -c3 -x
root     18427  0.0  0.0   1716   636 pts/0    S+   11:29   0:00 grep --color=auto sys

我知道只有rsyslogd正在运行

2)我已经从ossim-setup启用了Dionaea,并且我试图将其日志发送到ossim而没有任何结果.我怎样才能做到这一点？在那之后,我想做其他事情让ossim将Dioanea的日志与其他日志相关联？

谢谢

Answer 1

检查远程服务器上的rsyslog配置(默认情况下,它位于/etc/rsyslog.conf).它可能使用UDP或TCP.如果是UDP,请使用

*.* @hostname:<port>

如果是TCP,

*.* @@hostname:<port>

您可以通过检查线路获取端口号码 -

$UDPServerRun <port>
$TCPServerRun <port>

您可以根据Dioanea服务器的主机名或IP地址使用Rsyslog设置过滤规则,并将其写入单独的文件(如果这就是您想要的).

Answer 2

可以非常轻松地设置从rsyslog转发的日志.您需要编辑/etc/rsyslog.conf文件并添加以下行:

*.* @@remote-host:514

它将设置本地rsyslog以将所有syslog消息转发到"remote-host",514是rsyslogd服务器的端口号.您可以在要从中发送日志的所有客户端上添加上述行.您可以在官方Rsyslog项目网站上阅读更多相关信息