Envío de registros de auditoría al servidor SYSLOG

Estoy ejecutando varios sistemas basados ​​en RHEL que utilizan la funcionalidad de auditoría dentro del kernel 2.6 para rastrear la actividad del usuario y necesito que estos registros se envíen a servidores SYSLOG centralizados para el monitoreo y la correlación de eventos. Alguien sabe cómo lograr esto?

Editar: 17/11/14

Es posible que esta respuesta siga funcionando, pero en 2014, usar el complemento Audisp es la mejor respuesta.

Si está ejecutando el servidor syslog de stock ksyslogd, no sé cómo hacerlo. Pero hay excelentes instrucciones para hacerlo con rsyslog en su Wiki . ( http://wiki.rsyslog.com/index.php/Centralizing_the_audit_log )

Resumiré:

• En el cliente remitente ( rsyslog.conf):

  # auditd audit.log  
  $ InputFileName /var/log/audit/audit.log  
  $ InputFileTag tag_audit_log:  
  $ InputFileStateFile audit_log  
  $ InputFileSeverity info  
  $ InputFileFacility local6  
  $ InputRunFileMonitor
  

  Tenga en cuenta que el imfilemódulo deberá haberse cargado previamente en la configuración de rsyslog. Esta es la línea responsable de eso:

  $ ModLoad imfile

  Así que verifique si está en su rsyslog.confarchivo. Si no está allí, agréguelo en la ### MODULES ###sección para habilitar este módulo; de lo contrario, la configuración anterior para el registro auditado no funcionará.

• En el servidor receptor ( rsyslog.conf):

  $ template HostAudit, "/ var / log / rsyslog /% HOSTNAME% / audit_log"  
  local6. *
  

Reinicie el servicio ( service rsyslog restart) en ambos hosts y debería comenzar a recibir auditdmensajes.

El método más seguro y correcto es usar el complemento audispd syslog y / o audisp-remote .

Para que funcione rápidamente, puede editar /etc/audisp/plugins.d/syslog.conf . RHEL incluye esto por defecto, aunque está deshabilitado. Solo necesita cambiar una línea para habilitarla, active = yes .

active = yes
direction = out
path = builtin_syslog
type = builtin
args = LOG_INFO
format = string

Pero esto no es muy seguro por defecto; syslog es un protocolo inseguro en su base, no encriptado, no autenticado y en su especificación UDP original, completamente poco confiable. También almacena mucha información en archivos inseguros. El sistema de auditoría de Linux maneja información más confidencial de la que generalmente se envía a syslog, por lo tanto, es una separación. audisp-remote también proporciona autenticación y encriptación Kerberos, por lo que funciona bien como un transporte seguro. Usando audisp-remote, enviaría mensajes de auditoría usando audispd a un servidor audisp-remote que se ejecuta en su servidor syslog central. El audisp-remote luego usaría el complemento audispd syslog para alimentarlos al syslog dameon.

¡Pero hay otros métodos! rsyslog es muy robusto! rsyslog también ofrece cifrado Kerberos, más TLS. Solo asegúrese de que esté configurado de forma segura.

Puede iniciar sesión directamente en syslog usando audisp, es parte del paquete de auditoría. En Debian (aún no lo he probado en otras distribuciones) edite en:

/etc/audisp/plugins.d/syslog.conf

y establecer active=yes.