Zentraler Logserver statt lokalem Logging

RHEL5, RHEL6, security, SOLLTE

• RHEL 5: default sysklogd
• RHEL 6: default rsyslog

Logging auf einem zentralen Logserver ist lokalem Logging vorzuziehen. Remote-Logging verhindert, dass Intruder ihre Spuren in den Logfiles verwischen:

yum install rsyslog 
chkconfig syslog off 
chkconfig rsyslog on 
grep loghost /etc/rsyslog.conf 
*.*   @@loghost.example.local
grep -c ^\$Input /etc/rsyslog.conf 
0
grep ^\$ActionFileDefaultTemplate /etc/rsyslog.conf 
$ActionFileDefaultTemplate RSYSLOG TraditionalFileFormat

Rsyslogd ist auch deshalb gegenüber dem syslogd zu preferieren, weil er die Verbindung zum Logserver TLS-verschlüsseln kann. Der Aufbau von TLS-verschlüsselter Syslog-Kommunikation ist auf der Homepage des rsyslog-Projektes ausführlich beschrieben.