通过日志预防Linux系统攻击的全面指南

日志是Linux系统安全防御的第一道防线，通过合理配置和分析日志可以有效预防和检测系统攻击。以下是一套完整的日志安全策略：

一、关键日志文件配置

1. 系统认证日志

   • /var/log/auth.log (Debian/Ubuntu) 或 /var/log/secure (RHEL/CentOS)
   • 记录所有SSH登录尝试、sudo使用、用户切换等

2. 系统日志

   • /var/log/syslog (通用系统活动)
   • /var/log/messages (传统系统消息)

3. 服务日志

   • Web服务器: /var/log/apache2/ 或 /var/log/nginx/
   • 数据库: MySQL/PostgreSQL日志
   • SSH: /var/log/sshd.log

二、日志增强配置

1. 配置rsyslog/syslog-ng

   # 示例rsyslog配置增强认证日志
   auth,authpriv.*                 /var/log/auth.log
   auth,authpriv.*                 @central-log-server:514
   

2. journalctl配置(系统d系统)

   # 永久存储journal日志
   mkdir /var/log/journal
   systemctl restart systemd-journald
   

3. 日志轮转配置

   # /etc/logrotate.conf 示例配置
   /var/log/auth.log {
      weekly
      missingok
      notifempty
      compress
      delaycompress
      sharedscripts
      postrotate
          /usr/lib/rsyslog/rsyslog-rotate
      endscript
   }
   

三、关键监控指标

1. SSH暴力破解检测

   # 检测SSH失败登录
   grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr
   

2. 用户权限变更监控

   # 监控sudo和su使用
   grep -E "sudo:|su:" /var/log/auth.log
   

3. 异常进程监控

   # 检测非正常时间运行的cron任务
   grep CRON /var/log/syslog | grep -v "CMD (sleep"
   

四、自动化日志分析工具

1. Fail2ban (自动封禁恶意IP)

   # 安装配置
   apt install fail2ban
   cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
   # 自定义规则
   

2. Logwatch (每日日志摘要)

   apt install logwatch
   # 配置/etc/logwatch/conf/logwatch.conf
   

3. OSSEC (开源HIDS)

   # 安装和配置入侵检测系统
   wget https://github.com/ossec/ossec-hids/archive/3.6.0.tar.gz
   tar -xvzf 3.6.0.tar.gz
   cd ossec-hids-3.6.0
   ./install.sh
   

4. ELK Stack (高级日志分析)

   • Elasticsearch + Logstash + Kibana组合

五、日志集中管理与保留策略

1. 配置远程syslog服务器

   # 在客户端配置
   *.* @192.168.1.100:514
   

2. 日志保留策略

   • 关键安全日志: 保留180天
   • 系统日志: 保留90天
   • 应用日志: 保留30天

3. 日志完整性保护

   # 使用AIDE检测日志文件篡改
   apt install aide
   aideinit
   

六、应急响应中的日志分析

1. 时间线分析

   # 按时间排序查看关键事件
   ls -lt /var/log/auth.log /var/log/syslog
   

2. 关联分析

   # 查找同一IP的多项活动
   zgrep "192.168.1.100" /var/log/auth.log*
   

3. Rootkit检测

   # 检查异常内核模块
   lsmod | grep -Ev "^(Module|ipv6|nf_conntrack)"
   

通过以上措施，您可以建立一个强大的日志监控系统，不仅能预防潜在攻击，还能在攻击发生时快速检测和响应。记住，日志只有被分析和监控时才有价值，因此务必建立定期审查机制。