windows之家1.用Syslog记录UNIX和Windows日志的方法是什么?
在比较大规模的网络应用或者对安全有一定要求的应用中，通常需要对系统的日志进行记录分类并审核，默认情况下，每个系统会在本地硬盘上记录自己的日志，这样虽然也能有日志记录，但是有很多缺点：首先是管理不便，当服务器数量比较多的时候，登陆每台服务器去管理分析日志会十分不便，其次是安全问题，一旦有入侵者登陆系统，他可以轻松的删除所有日志，系统安全分析人员不能得到任何入侵信息。
因此，在网络中安排一台专用的日志服务器来记录系统日志是一个比较理想的方案。本文以FreeBSD下的syslog为例，介绍如何利用freebsd的syslogd来记录来自UNIX和windows的log信息。
一、记录UNIX类主机的log信息 首先需要对Freebsd的syslog进行配置，使它允许接收来自其他服务器的log信息。 在/etc/rc。
conf中加入： syslogd_flags="-4 -a 0/0：*" 说明：freebsd的syslogd参数设置放在/etc/rc。conf文件的syslogd_flags变量中 Freebsd对syslogd的默认设置参数是syslogd_flags="-s"，（可以在/etc/defaults/rc。
conf中看到） 默认的参数-s表示打开UDP端口监听，但是只监听本机的UDP端口，拒绝接收来自其他主机的log信息。如果是两个ss，即-ss，表示不打开任何UDP端口，只在本机用/dev/log设备来记录log。
修改后的参数说明： -4 只监听IPv4端口，如果你的网络是IPv6协议，可以换成-6 -a 0/0：* 接受来自所有网段所有端口发送过来的log信息。 如果只希望syslogd接收来自某特定网段的log信息可以这样写：-a 192。
168。1。
0/24:* -a 192。168。
1。0/24:514或者-a 192。
168。1。
0/24表示仅接收来自该网段514端口的log信息，这也是freebsd的syslogd进程默认设置，也就是说freebsd 在接收来自其他主机的log信息的时候会判断对方发送信息的端口，如果对方不是用514端口发送的信息，那么freebsd的syslogd会拒绝接收信息。 即，在默认情况下必须：远程IP的514端口 发送到本地IP的514， 在参数中加入*，表示允许接收来自任何端口的log信息。
这点，在记录UNIX类主机信息的时候感觉不到加不加有什么区别，因为UNIX类主机都是用514端口发送和接收syslog信息的。 但是在接收windows信息的时候就非常重要了。
因为windows的syslog软件不用514端口发送信息，这会让默认配置的syslogd拒绝接收信息。笔者同样在linux系统下用linux的syslogd来配置log服务器，发现linux下的syslogd就没有那么多限制，只要给syslogd加上-r参数，就可以接收来自任何主机任何端口的syslog信息，在这方面来说freebsd的默认配置安全性要比linux稍微高一点。
修改好syslogd参数后，我们需要修改一下/etc/syslog。conf文件，指定log信息的存放路径， 比如你要记录其他系统的远程登陆登出信息并指定日志存放路径，则需要修改以下行： authpriv。
* /var/log/testlog 这表示把系统的登入登出日志（包括本机系统登陆登出日志）存放到/var/log/testlog文件中。 当然，这是最简陋的做法，因为这样会把所有服务器的登陆登出信息存放在一个文件中，察看的时候很不方便，通常的做法是用一个脚本，对接收到的信息进行简单的分拣，再发送到不同的文件。
如下设置： authpriv。* |/var/log/filter_log。
sh 在记录目标前面加上“|”表示把接收到的信息交给后面的程序处理，这个程序可以是一个专门的日志处理软件，也可以是一个自己编写的小的脚本，举例： #！/bin/sh read stuff SERVER=`echo $stuff |awk '{print $4}'` echo $stuff >> /var/log/login_log/$SERVER。 log 这个简单的脚本以IP作为分类依据，先用read读取log信息，用awk取出第四字段（即IP地址或者主机名所在的字段），以该字段为文件名存放该主机的日志。
这样一来，来自192。168。
1。1的log会记录到192。
168。1。
1。 log文件中，来自192。
168。1。
2的log会被记录在 192。168。
1。2。
log文件中，分析和归类就比较方便了。当然这是一个最简单的例子，读者可以根据自己的需求写出更好的脚本，甚至把log信息分类后插入数据库中，这样日志的管理和分析就更方便了。
最后重启一下syslogd服务，让配置生效： /etc/rc。d/syslogd restart OK，服务端的配置完成。
现在配置一下客户端： 这里所说的客户端，就是发送自己的日志到远程日志服务器上的主机。 修改/etc/syslog。
conf文件： 我们举例你只要记录系统登入登出日志到远程日志服务器上，那么只需要修改以下一行： authpriv。* @192。
168。10。
100 这里的192。168。
10。100就是log服务器的IP，“@”符号表示发送到远程主机。
OK，重启一下syslog服务： Linux: /etc/init。d/syslogd restart BSD: /etc/rc。
d/syslogd restart 用logger测试一下是否配置成功： logger –p authpriv。 notice “Hello,this is a test” 到log服务器上去看看，“Hello,this is a test”应该已经被记录下了。
最后在客户机上登陆登出几次，看看真实的authpriv信息是否也被成功的记录下。 二、Windows日志的记录 对于UNIX类主机之间记录日志，由于协议、软件和日志信息格式等都大同小异，因此实现起来比较简单，但是windows的系统日志格式不同，日志记录软件，方式等都不同。
因此，我们需要第。
2.如何搭建syslog日志服务器
首先我们知道日志是什么，日志毫无疑问就跟我们写日记一样记录我们每天做的一些事情，那么日志对于一台服务器而言是至关重要的，比如说我们搭建服务的时候，服务起不来也没提示错误信息，那么这个时候就可以查看日志来排错了，还记录了服务器的运行情况已经入侵记录等等。 ，那么我们知道一台服务器的日志默认是存放在本地的对于linux而言日志一般存放于/var/log/目录下，比如说某系统管理员管理着几十甚至上百台服务器的时候，默认日志放在每台服务器的本地，当我们每天要去看日志的时候一台一台的看日志是不是要郁闷死了. 没关系在linux系统上提供了一个syslogd这样的一个服务为我们提供日志服务器，他可以将多台主机和网络设备等等的日志存到日志服务器上，这样就大大减少了管理员的工作量，下面将在一台默认装有rhel5.x的系统上搭建一台日志服务器.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
系统环境：默认安装有rhel5.8的系统
主机 角色 IP地址
server1 日志服务器 10.0.0.1
server2 10.0.0.2
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
实际上日志服务器的配置非常之简单几条命令就搞定了
一.配置日志服务器为网络中其他主机及其网络设备等等提供日志存储服务，也就是配置server1
1. 在server1上编辑/etc/sysconfig/syslog文件修改如下
#vim /etc/sysconfig/syslog ## 只修改SYSLOGD_OPTINOS这项，如下
SYSLOGD_OPTIONS="-m 0 -r"
2 .重新启动syslog
#service syslog restart
3.配置防火墙，syslog传送日志的端口是UDP的514端口防火墙在默认的情况下是阻止所有的，这里就 直接把防火墙关闭了，防火墙的配置就不介绍了
#service iptables stop
#chkconfig iptables off
ok！到这里服务器的配置基本就结束了.
二.配置server2让其将日志发送到日志服务器上去，我们知道windows跟交换机路由器都是有日志产 生的，它们的日志也是可以存储到日志服务器上去的，这里就只介绍linux主机的
1.配置server2上的/etc/syslog.conf定义日志的类型以及日志的级别和日志存放的位置，这里就只简 单的介绍下大体的配置思路，
#vim /etc/syslog.conf
*.* @10.0.0.1
上面的配置表示所有的日志类型.所有的日志的级别的日志都将存放在10.0.0.1这台日志服务器上
2，重启syslog
#service syslog restart
三.验证
1.在server2上建一个redhat的用户，然后到server1上的/var/log/secure文件或者/var/log/messages文件 查看日志
#cat /var/log/secure
Jun 8 00:58:05 10.0.0.2 useradd[15463]: new group: name=redhat, GID=500
Jun 8 00:58:05 10.0.0.2 useradd[15463]: new user: name=redhat, UID=500, GID=500, home=/home/redhat, shell=/bin/bash
可以看到10.0.0.2这台主机new了一个redhat的用户
3.在windows2003上安装了syslog,用来接收远程路由器产生的日志,但
第一步：安装日志采集工具Nxlog
从Sourceforge下载最新的？Nxlog，并安装。
第二步：获取NXlog配置文件
下载 Windows日志转Syslog发送的配置文件：配置文件，并替换掉该路径下的配置文件：C:\Program Files (x86)\nxlog\conf\nxlog.conf
第三步：注意Windows系列的区别
定位到22行和25行，针对Windows 2003和Windows 2008采用不同的方式进行日志采集。
im_msvistalog针对Windows 2008系列，im_mseventlog针对Windows 2003系列。
默认采用支持Windows 2003系列。
第四步、重启Nxlog服务，日志采集开始工作
到Windows服务器管理器里面找到Nxlog服务，并重启。
此时可以通过观察nxlog自身日志记录（C:\Program Files (x86)\nxlog\data\nxlog.log），确定是否正常工作。
4.windows dump日志怎么查看
今天给大家带来win10查看系统日志的方法，想要查看win10系统中DUMP的日志文件该如何查询，让您轻松解决问题。
最近老是有用户反应win10系统蓝屏问题问题。如果反复出现该问题的话，最好的方法就是去获取dump日志文件给技术员分析，从而把问题彻底解决掉。
那么win10系统该如何获取dump日志文件呢？下面，小编就向大家具体介绍下。说明：1、dump日志文件的存放目录位于：其默认路径是Windows文件夹下的Minidump文件夹（C:windowsminidump）;2、如果你在windows文件夹中没有发现minidump文件夹，那么可能是你的win10没有设置导致。
设置方法：1、右键点击“此电脑”属性，然后点击“高级系统设置”；2、点击系统启动，系统故障和调试信息下的设置按钮；3、然后勾选“将事件写入系统日志” 及设置储存等选项，如下图：4、通过设置后，再出现蓝屏等故障的时候，我们就可以在C:windowsminidump文件夹找到dump文件了！上述就是小编介绍的Win10获取dump日志文件的具体方法。dump日志文件可以帮助我们很快检查到问题的所在，所以经常遇到故障的用户赶紧按照小编的方法操作看看吧。
转载请注明出处windows之家 » win10设置syslog
