搭建syslog日志服务器

0x00 背景

为了方便日志监控并防止日志被篡改，通常工作环境中会使用rsyslog架设日服务器用于存放其它服务器的日志。rsyslog支持日志的远程发送和接收。

rsyslog客户端：负责发送日志到远程日志服务器，支持udp,tcp,relp协议。

rsyslog服务器：负责接收客户端发来的日志并存储在本地，支持文件存储和数据库存储方式。

对于入侵排查工作来说，操作系统的认证日志、计划任务日志和历史命令是非常重要的。为加强日志管理，要求将各系统的相应日志信息保存到专用的rsyslog日志服务器，保存日志的路径格式为：源IP地址/设施名（日志类别）/年月.log。

对于进行安全审计或者数据分析，需要将各类设备的日志发送到日志服务器。

0x01 Windows搭建syslog日志服务器

1 安装kiwisyslog软件

当然我们也可以选择其他日志服务器的软件进行安装，具体参考其帮助文档。

官方网站：Syslog Server - Event Log Monitoring & Management | Kiwi Syslog Server

2 配置kiwisyslog软件

配置日志服务器监听的IP地址，如下所示：