2023年1月11日12:25:17评论37 views字数 1831阅读6分6秒阅读模式

《网络安全知识体系》

安全运营和事件管理（九）：

2.6 系统日志

正如本节中多次提到的，Syslog提供了一个通用的日志记录基础架构，它构成了许多用途的极其有效的数据源。

这些日志的初始来源是Syslog协议，该协议在BSDUnix中引入，由RFC3164从现有实现中复古指定。Syslog的当前规范由RFC5424提供。此新规范在原始实施的基础上引入了几项改进。

系统日志条目是来自已识别源的带时间戳的文本消息。它按此顺序包含以下信息：

时间戳事件创建的日期和时间，通常采用文本格式，分辨率最高为秒。

主机名生成日志的设备的名称。它可能是完全限定的名称或IP地址，或者是本地计算机的本地主机。在合并日志时，在专用范围或本地主机中使用IP地址可能会导致错误。

进程生成日志的进程（程序）的名称。

优先级日志的优先级（类别和严重性，根据标准公式计算）。在实践中，它通常根据严重性进行汇总，等级为0（系统崩溃和崩溃）到7（调试信息）。

PID生成日志的进程的进程ID。

消息由应用程序开发人员提供的信息限定的ASCII7位消息。

Syslog还使用工具的概念来对日志进行分类和定向。此信息聚合在不同的文件中，通常在Unix系统中的/var/log/目录中。

Syslog也是一个协议，在UDP/513上运行。这有利于传输，因为UDP可以适应困难的网络条件，并在不失去功能的情况下丢失一些消息。但是，使用UDP通常需要限制分段，因此建议对Syslog消息大小的限制通常约为一千字节。许多系统都包含一个标准的编程接口，用于在应用程序中实现对Syslog的调用。

作为一条短信，Syslog非常有用。许多（如果不是大多数的话）繁重的SOC实现都依赖于Syslog来集中事件和警报。Syslog的这种用法在第4.1节中介绍。

原文始发于微信公众号（祺印说信安）：网络安全运营和事件管理（九）：系统日志