ubuntu syslog怎么审计

在 Ubuntu 上，syslog 审计通常可以从三个层面来做：系统自带日志（rsyslog / journald）、auditd 内核级审计、以及对 syslog 本身的访问与配置审计。下面按实用角度说明。

一、Ubuntu 日志体系先理清

Ubuntu 默认有两套：

1. systemd-journald（二进制日志，推荐查看）
2. rsyslog（传统 syslog，写 /var/log/*）

常用查看命令：

journalctl
journalctl -u ssh
journalctl --since "2024-01-01"

传统 syslog 文件：

/var/log/syslog
/var/log/auth.log
/var/log/kern.log

二、用 auditd 做“真正意义的审计”（推荐）

auditd 是 Linux 内核级审计工具，比 syslog 更可靠。

1. 安装

sudo apt install auditd audispd-plugins

2. 审计用户命令执行

sudo auditctl -w /etc/passwd -p wa -k passwd_change
sudo auditctl -w /bin/su -p x -k su_usage

查看：

sudo ausearch -k su_usage
sudo aureport -x

3. 审计写 syslog 的行为（防止篡改）

sudo auditctl -w /var/log/syslog -p wa -k syslog_write

三、对 syslog 内容做审计（日志分析）

1. 关注关键日志

# 登录审计
sudo grep "Failed password" /var/log/auth.log

# sudo 使用
sudo grep "sudo:" /var/log/auth.log

2. 远程集中审计（重要）

防止本地日志被删：

# /etc/rsyslog.conf
*.* @logserver:514

或使用 rsyslog + TLS

四、审计 syslog 服务本身

1. 谁改了 rsyslog 配置

sudo auditctl -w /etc/rsyslog.conf -p wa -k rsyslog_conf

2. 确保日志不可随意删

sudo chattr +a /var/log/syslog

五、合规视角（等保 / ISO）

• 启用 auditd
• 日志保留 ≥ 180 天
• 日志远程备份
• 对特权命令审计
• 定期 aureport

六、最小可行方案（建议）

apt install auditd
auditctl -e 1
auditctl -w /etc -p wa -k etc_change
auditctl -w /var/log -p wa -k log_change

如果你愿意，我可以：

• 给你一套 Ubuntu 审计规则模板
• 或针对 等保 / 金融行业 给具体配置