CentOS 6
Sponsored Link

Auditd : リモートホストにログを転送する
2016/07/26
 
リモートホストに Audit ログを転送して、特定ホストで複数ホストの Audit ログを一括管理できるようにします。
ここでは以下のような環境を例にします。
+----------------------+          |          +----------------------+
| [  Auditd Server   ] |10.0.0.30 | 10.0.0.51| [  Auditd Client   ] |
|     dlp.srv.world    +----------+----------+    node01.srv.world  |
|                      |                     |                      |
+----------------------+                     +----------------------+

[1] Audit ログを受信する側のホストの設定です。
[root@dlp ~]#
vi /etc/audit/auditd.conf
# 25行目:コメント解除してリスンするポートを指定

tcp_listen_port =
60
[root@dlp ~]#
service auditd restart
[2] Audit ログを送信する側のホストで Audisp プラグインをインストールして設定します。
[root@node01 ~]#
yum -y install audispd-plugins
[root@node01 ~]#
vi /etc/audisp/plugins.d/au-remote.conf
# 6行目:変更

active =
yes
[root@node01 ~]#
vi /etc/audisp/audisp-remote.conf
# 6行目:ログ送信先ホスト

remote_server =
dlp.srv.world
# 7行目:ログ送信先ポート(受信サーバー側でリスンしているポート)

port = 60
[root@node01 ~]#
vi /etc/audit/auditd.conf
# 6行目:変更(ローカルにログを記録しない)

log_format =
NOLOG
[root@node01 ~]#
service auditd restart

[3] 以上で、設定したリモートホストのログが Audit ログ受信ホスト上に記録されていきます。
[root@dlp ~]#
tail -5 /var/log/audit/audit.log

node=node01.srv.world type=USER_START msg=audit(1456385789.273:101): pid=1141 uid=0 auid=0 ses=1 msg='op=.....
node=node01.srv.world type=USER_END msg=audit(1456385789.278:102): pid=1141 uid=0 auid=0 ses=1 msg='op=PA.....
node=node01.srv.world type=CRED_DISP msg=audit(1456385789.278:103): pid=1141 uid=0 auid=0 ses=1 msg='op=P.....
node=node01.srv.world type=USER_END msg=audit(1456385791.441:104): pid=1120 uid=0 auid=0 ses=1 msg='op=PA.....
node=node01.srv.world type=CRED_DISP msg=audit(1456385791.442:105): pid=1120 uid=0 auid=0 ses=1 msg='op=P.....
[4] ログ受信サーバーで TCP Wrapper インストール済みであれば、 TCP Wrapper によるログ送信元ホストのアクセス制限が利用できます。
[root@dlp ~]#
vi /etc/audit/auditd.conf
# 最終行に追記

use_libwrap = yes
[root@dlp ~]#
service auditd restart
[root@dlp ~]#
vi /etc/hosts.deny
# デフォルト拒否

auditd: ALL
[root@dlp ~]#
vi /etc/hosts.allow
# 許可ホストを設定

auditd: 10.0.0.51
 
Tweet