Если у вас несколько серверов, то хранить логи аутентификации локально - так себе вариант. Централизованный сбор через
rsyslog упрощает аудит. Ниже - как организовать сбор логов auth.log или secure с клиента на лог-сервер.1️⃣ На стороне клиента (отправителя логов). Открываем конфиг rsyslog:
sudo nano /etc/rsyslog.conf
2️⃣ Раскомментируем или добавляем строку:
*.* @@logserver.example.com:514
@ - UDP, @@ - TCP. Лучше использовать TCP.
3️⃣ Убедитесь, что строки логов аутентификации отправляются:
sudo nano /etc/rsyslog.d/50-default.conf
Проверьте, что auth,authpriv.* не закомментированы.
4️⃣ Перезапускаем rsyslog:
sudo systemctl restart rsyslog
1️⃣ На стороне лог-сервера (получателя логов). Открываем /etc/rsyslog.conf:
sudo nano /etc/rsyslog.conf
2️⃣ Включаем модуль приёма:
module(load="imtcp") # для TCP
input(type="imtcp" port="514")
3️⃣ Добавляем правило записи логов клиентов:
$template RemoteAuth,"/var/log/remote/%HOSTNAME%/auth.log"
if ($syslogfacility-text == 'auth' or $syslogfacility-text == 'authpriv') then ?RemoteAuth
& stop
Это создаст директорию /var/log/remote/host1/auth.log, /host2/auth.log и т.д.
4️⃣ Перезапускаем:
sudo systemctl restart rsyslog
Такой подход позволяет в одном месте отслеживать неудачные попытки входа, sudo-команды, доступ по SSH и прочее.
BashTex 📱 #security