等保合规 — 设备日志留存时间不满足法律法规要求

注意：应用程序、安全、系统3个日志均需要配置。

2. Linux

2.1 本地日志轮替配置

1）syslog日志轮替

配置文件：/etc/logrotate.conf

通用配置：

将weekly 修改为monthly

rotate 4 修改为 rotate 6

然后重启rsyslog服务即可生效

systemctl restart rsyslog.service

2）针对特定日志的配置

在/etc/logrotate.d/ 目录下会有相应的特定日志记录配置文件

我们关注的一般为syslog，文件位置：/etc/logrotate.d/syslog

在大括号中加入monthly、rotate 6即可

同理重启服务，然后在/var/log下将会保存6个月的日志

3）audit日志轮替

无按时间的轮替配置，只能设置文件大小和文件个数

文件位置：/etc/audit/auditd.conf

max_log_file = 6

#以兆字节表示的最大日志文件容量。当达到这个容量时，会执行max_log_file _action指定的动作

max_log_file_action = ROTATE

#当达到max_log_file的日志文件大小时采取的动作。值必须是IGNORE、SYSLOG、SUSPEND、ROTATE和KEEP_LOGS之一。

#如果设置为IGNORE，则在日志文件达到max_log_file后不采取动作。

#如果设置为SYSLOG，则当达到文件容量时会向系统日志/var /log/messages中写入一条警告。

#如果设置为SUSPEND，则当达到文件容量后不会向日志文件写入审计消息。

#如果设置为ROTATE，则当达到指定文件容量后会循环日志文件，但是只会保存一定数目的老文件，这个数目由num_logs参数指定。老文件的文件名将为audit.log.N，其中 N是一个数字。这个数字越大，则文件越老。

#如果设置为KEEP_LOGS，则会循环日志文件，但是会忽略num_logs参数，因此不会删除日志文件。

num_logs = 5

#max_log_file_action设置为ROTATE时要保存的日志文件数目。必须是0~99之间的数。如果设置为小于2，则不会循环日志。如果递 增了日志文件的数目，就可能有必要递增/etc/audit/audit.rules中的内核backlog设置值，以便留出日志循环的时间。如果没有设 置num_logs值，它就默认为0，意味着从来不循环日志文件。

2.2 rsyslog日志服务器搭建

由于网络、安全设备自带存储空间可能较小，日志留存时间往往达不到要求，我们就可以安装一台Linux服务器来收集对应网络、安全设备、Linux操作系统的系统日志，使其达到6个月的存储时间。但是这种方法仅是满足了日志留存时间的要求，本身收集到的日志可读性较差，对溯源来说并不友好。

1）服务端配置

我们选择一台Linux操作系统，作为服务端

vim /etc/rsyslog.conf 修改相关配置

修改配置文件只需开启两个模块和协议支持的端口

$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)

$ModLoad imklog # provides kernel logging support (previously done by rklogd)

$ModLoad imudp #开启支持upd的模块

$UDPServerRun 514 #允许接收udp 514的端口传来的日志

$ModLoad imtcp #开启支持tcp的模块

$InputTCPServerRun 514 #允许接收tcp 514的端口传来的日志

$template  IpTemplate,"/var/log/syslog/%FROMHOST-IP%/%$year%-%$month%-%$day%.log.log" # $template ipTemplate(这里的"Template"字符串可以为任何其他的描述性的名称）指令使rsyslog后台进程将日志写到/var/log的单独本地日志文件中，后面具体日志生成的格式。

*.* ?IpTemplate #将RemoteLogs模版应用到所有接收到的日志上

将上述配置写入作为服务端的/etc/rsyslog.conf 内，之后重启该台rsyslog服务，systemctl restart rsyslog.service。此时，rsyslog服务器服务端就已搭建完毕。

例如进入 172.17.200.18，产生的方式为每日产生一个日志文件

此时我登录172.17.200.18这台服务器，接着我们查看日志信息，找到了对应登录的IP地址与时间。

所以这种方式是几乎零成本的满足了我们等保与法律关于留存日志时间的要求，但是可读性（当然可以配置得更细致，分类存储，但那太复杂了，人工成本可能都比直接买台设备要贵）还是一般，需要自己翻找相应的日志信息。当然这种方法最主要的目的还是：

省钱！