Linux 之rsyslog+LogAnalyzer 日志收集系統（轉）

Centos7 搭建 LogAnalyzer4.1.5 - 開源日志服務器

LogAnalyzer是一款使用率較高的日志服務器，在遇到非法入侵或故障排查，當然還有責任划分（公司內互扯的事太多了）的時候尤為顯得重要，所以公司內部使用一台日志服務器是一件很有必要的事情。

 

（如果本文中的圖片看不清，可按住鍵盤Ctrl鍵+鼠標滾輪上鍵）

 

一、環境准備

1、關閉selinux

 

#vi  /etc/selinux/config

修改文件

SELINUX=disabled

這一步驟還可以使用命令直接修改

#sed -i 's#SELINUX=enforcing#SELINUX=disabled#g' /etc/selinux/config

臨時關閉

#setenforce 0

2、關閉firewall

#systemctl stop firewalld.service

#systemctl disable firewalld.servic

3、時間同步

#ntpdate cn.ntp.org.cn

#hwclock -w

寫進計划任務

#vi /etc/crontab

添加

 

00 11 * * * root ntpdate cn.ntp.org.cn

00 11 * * * root hwclock -w

 

二、搭建LAMP環境

1、安裝mysql

# mkdir /home/rsyslog_server/tools -p 

#cd /home/rsyslog_server/tools

# yum install wget -y

# wget --no-check-certificate http://dev.mysql.com/get/mysql57-community-release-el7-8.noarch.rpm  

# rpm -Uvh mysql57-community-release-el7-8.noarch.rpm

# yum install mysql-community-server -y 

# systemctl start mysqld.service

# systemctl status mysqld.service

# grep 'temporary password' /var/log/mysqld.log 查看初始密碼 新版本的MYSQL默認密碼不為空了，紅圈內的為密碼

 

 

# mysql -u root -p

ALTER USER 'root'@'localhost' IDENTIFIED BY 'Zheshimima2!';                //更改初始密碼，密碼要符合復雜度要求

2、安裝Apache及PHP

# yum install httpd -y

# yum install php php-gd php-xml php-mysql -y

3、啟動服務和加開機啟動

# systemctl start httpd.service

# systemctl enable httpd.service

# systemctl start mysqld.service

# systemctl enable mysqld.service

4、測試PHP環境

#cd /var/www/html

#vi index.php

<?php

    phpinfo()

?>

保存，然后瀏覽器訪問改IP

 

 

三、安裝相關日志軟件及配置

1、查看一下是否有rsyslog

#rpm -qa rsyslog

Centos7 默認是有的

安裝rsyslog 連接MySQL數據庫的模塊

#yum install rsyslog-mysql -y

導入rsyslog-mysql 數據庫文件

# cd /usr/share/doc/rsyslog-7.4.7/

# mysql -uroot -p<mysql-createDB.sql

# Enter password:

登錄數據庫查看

#mysql -u root -p

輸入剛才的密碼Zheshimima2!

mysql> show databases;

 

 

mysql> use Syslog;

mysql> show tables;

 

 

導入數據庫操作創建了Syslog 庫並在該庫中創建了兩張空表SystemEvents 和SystemEventsProperties

2、在MySQL下創建rsyslog用戶並授權

mysql> grant all on Syslog.* to rsyslog@'localhost' identified by 'Zheshimima2!';

mysql> flush privileges;

mysql> exit

配置服務端支持rsyslog-mysql 模塊，並開啟UDP服務端口獲取網內其他LINUX系統日志

# vi /etc/rsyslog.conf

添加或修改如下配置

#### MODULES ####

$Modload ommysql

*.* :ommysql:localhost,Syslog,rsyslog,Zheshimima2! 

$ModLoad immark

$ModLoad imudp

$UDPServerRun 514

 重啟rsyslog服務

#systemctl restart rsyslog.service

3、客戶端的配置（LOG服務器本身可以不搭）

1、檢查客戶端有沒有安裝rsyslog

#rpm -qa rsyslog

配置rsyslog客戶端發送本地日志到服務端

# vi /etc/rsyslog.conf 

    *.* @192.168.253.160:514        #在文件結尾處增加此內容

重啟rsyslog服務

systemctl restart rsyslog.service

編輯/etc/bashrc，將客戶端執行的所有命令寫入系統日志/var/log/messages中

# vi /etc/bashrc 

  export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });logger "[euid=$(whoami)]":$(who am i):[`pwd`]"$msg"; }'                #在結尾處加上此內容

#source /etc/bashrc 

2、測試是否可以接收到日志

# cd /tmp

#touch test

#rm -rf test

#cat /var/log/messages //查看一下剛才的操作是否有記錄

3、安裝LogAnalyzer

#cd /home/rsyslog_server/tools/

從csdn下載    https://download.csdn.net/download/wuxiang_it/9894312

#wget http://download.adiscon.com/loganalyzer/loganalyzer-4.1.5.tar.gz

#tar zxf loganalyzer-4.1.5.tar.gz

#cd loganalyzer-4.1.5/

#mkdir -p /var/www/html/loganalyzer

# cp -a src/* /var/www/html/loganalyzer/

4、在瀏覽器中打開

http://192.168.99.96/loganalyzer/

 

 

點here開始配置

 

 

 

 

此處提示了./config.php文件不存在，我們需要生成一下

# cd contrib/

# cp configure.sh /var/www/html/loganalyzer/

# cd /var/www/html/loganalyzer/

# sh configure.sh

完成后在點擊recheck一下

 

 

繼續下一步

配置數據庫

 

 

下一步

 

 

 

 

配置管理員

 

 

 

 

 

 

 

 

 

 

 

 

 

OK了

四、LogAnalyzer漢化

漢化操作可以直接用我網盤里的漢化包，然后上傳到/var/www/html/loganalyzer/lang目錄下，然后在管理頁面選擇語言即可。

 

       http://pan.baidu.com/s/1skQr0FN

 

五、故障處理篇

長時間運行LogAnalyzer日志服務器，由於數據庫中的數據量太大，會造成訪問卡頓的現象，此時我們需要刪除不用的數據以減小日志量。

 

管理員登錄，選擇 管理中心-數據源-刪除按鈕

 

 

三個刪除選項，根據自己需求刪除即可。

 

 

 

 

https://www.cnblogs.com/zhaodahai/p/6824523.html

http://www.ifzhai.com/article.php?id=9