Tekst źródłowy strony Syslog

[[Category:Bezpieczeństwo]]
== Syslog ==

'''Syslog''' jest jednym z ważniejszych programów działających w systemie linux, pierwotnie opracowany przez Erica Allmana, '''syslog''' zajmuje się rejestrowaniem zdarzeń, które wytworzyły inne usługi działające w systemie. Program '''syslog''' jest niezwykle ważny dla zachowania stabilności działania systemu, pozwala w dość prosty sposób sprawdzić dlaczego jakaś usługa przestała działać lub nie chce zacząć działać, pozwala sprawdzić kto i kiedy logował się do naszego systemu np poprzez ssh, zapisuje również komunikaty jądra.<br />

'''Syslog''' jest elastycznym programem, który pozwala na  sortowanie komunikatów ze względu na źródło i poziom ważności (ang. ''severity level'') przy jednoczesnym zapisywaniu logów do różnych plików, na terminale zwykłych użytkowników czy na zdalne komputery ('''syslog''' daje nam możliwość centralizacji rejestrowania zdarzeń z całej sieci).

=== Składniki usługi syslog ===

*'''syslogd'''  demon rejestrujący (plik konfiguracyjny /etc/syslog.conf)
*'''openlog'''  procedury biblioteczne wysyłające komunikaty do syslogd
*'''logger'''   polecenie dla użytkowników pozwalające na wyslanie do dziennika własnych komunikatów (więcej można poczytać tutaj)

'''Syslog''' działa nieprzerwanie od chwili kiedy system został uruchomiony. Nie można nim zarządzać przez inetd. Programy, które zostały skonfigurowane do działania z usługą syslog, zapisują swoje komunikaty do specjalnego pliku ''/dev/log'' (gniazdo). Demon syslog czyta z tego pliku, sprawdza każdy wpis ze swoją konfiguracją i odpowiednie komunikaty kieruje do odpowiednich miejsc.

=== Konfiguracja ===

Głównym plikiem konfiguracyjnym usługi syslog jest plik ''/etc/syslog.conf''. Jest to dość prosty plik do odczytania, wiersze zaczynające się od znaku '#' są komentarzami, format wpisów wygląda następująco:

 mail.*  < znak tabulacji >     -/var/log/maillog

powyższy wpis spowoduje że komunikaty z systemu pocztowego będą kierowane do pliku ''/var/log/maillog''. Pole selektor i działanie musi być oddzielone przynajmniej jednym znakiem tabulacji (spacje nie działają i tworzą błędy trudne do wychwycenia). Znak myślnika mówi że system plików nie powinien być synchronizzowanypo zapisaniu każdego wpisu dziennika.<br />

Selektor czyli w naszym przypadku mail.* można przeczytać jako usługa.poziom. Nazwa usługi oraz poziom musi być wybrana z ściśle określonej listy, którą przedstawię poniżej.

Selektor może zawierać specjalne słowa kluczowe * oznacza wszystko oraz none oznaczające nic.

Format zapisu może być następujący:

 ''usługa.poziom działanie''<br />
 ''usluga1,usluga2.poziom działanie''<br />
 ''usluga1.poziom1;usluga2.poziom2 działanie''<br />
 ''*.poziom działanie''<br />
 ''usluga.* działanie''<br />

Poniżej przedstawiam listę poziomów ważności rozpisana według ich malejącej wartości

* wszystkie usługi (bez mark)
*'''auth''' bezpieczeństwo i autoryzacja
*'''authpriv''' komunikaty uwierzytelniające
*'''cron''' komunikaty demona cron
*'''daemon''' demony systemowe
*'''ftp''' demon ftp
*'''kern''' komunikaty jądra
*'''local0-7''' komunikaty lokalne 8 rodzajów
*'''lpr''' logi z drukarki wierszowej
*'''mail''' logi z oprogramowania pocztowego
*'''mark''' znaczniki czasowe
*'''news''' dawne systemy wiadomości grup dyskusyjnych
*'''syslog''' wewnętrzne komunikaty demona syslogd
*'''user''' procesy użytkownika

 
Poziomy ważności komunikatów przedstawiają się następująco

*'''emerg''' sytuacje bez wyjścia
*'''alert''' sytuacje, które wymagają natychmiastowego działania
*'''crit''' warunki krytyczne
*'''err''' inne błędy
*'''warning''' komunikaty ostrzegawcze
*'''notice''' zdarzenia wymagające sprawdzenia
*'''info''' komunikaty informacyjne
*'''debug''' tylko do celów diagnostycznych

Poziomy ważności określają minimalne znaczenie jakie musi mieć komunikat aby mógł być zarejestrowany. Dlatego jeśli mamy ustawiony selektor

 mail.err

będzie on dotyczył również takim poziomom ważności jak ''mail.warning'', ''mail.notice, mail.info'' oraz ''mail.debug''. W linuksowej wersji '''syslog''' mamy możliwość użycia znaku = oznacza tylko ten priorytet oraz ! oznaczającego oprócz tego i wyższych priorytetów.

== Działania systemu ==

Działania systemu czyli opcja umożliwiająca zdefiniowanie miejsca do którego mają trafiać logi o określonym poziomie. Mamy różne możliwości

*'''nazwa_pliku''' (np ''/var/log/maillog'') dopisanie komunikatu do pliku na komputerze lokalnym. Należy podać ścieżkę bezwzględną. W systemie linux jeśli podany plik nie istnieje to syslog go utworzy przy pierwszym zapisie.
*'''@nazwa_komputera''' przekazanie komunikatu demonowi syslog na komputerze o adresie nazwa_komputera lub adres_IP, jeśli utworzymy wpis z nazwą komputera a nie z jego IP to nazwa musi być możliwa do rozwiązania za pomocą mechanizmu DNS lub NIS.
*'''|nazwa kolejki FIFO''' zapisanie komunikatu do łącza nazwanego nazwa_kolejki_FIFO
*'''user1,user2...''' wyświetlenie komunikatu na ekranie wskazanych użytkowników o ile są zalogowani
*'''*''' wyświtlenie komunikatów wszystkim zalogowanym użytkownikom

== Przykład ==

Przykład pliku konfiguracyjnego

 # Log all kernel messages to the console.
 # Logging much else clutters up the screen.
 #kern.*                                                                   /dev/console 
 # Log anything (except mail) of level info or higher.
 # Don't log private authentication messages!
 *.info;mail.none;authpriv.none;cron.none                /var/log/messages
 # The authpriv file has restricted access.
 authpriv.*                                                             @192.168.0.2
 # Log all the mail messages in one place.
 mail.*                                                                       -/var/log/maillog
 # Log cron stuff
 cron.*                                                                        /var/log/cron
 # Everybody gets emergency messages
 *.emerg                                                                    *
 # Save news errors of level crit and higher in a special file
 uucp,news.crit                                                    /var/log/spooler
 # Save boot messages also to boot.log
 local7.*                                                                        /var/log/boot.log

'''Uwaga!''' Komunikaty programu syslog mogą zostać użyte do przeprowadzenia ataku z odmową usług (ang ''denial of service''), dlatego w większości dystrybucji systemu linux, demon '''syslogd''' nie przyjmuje komunikatów z innych komputerów, chyba że zostanie uruchomiony z opcją '''-r'''.

Domyślnie '''syslogd''' odmawia również działania jako niezależny system przekazywania komunikatów. Można to zmienić za pomocą opcji '''-h'''.

Jeśli chcesz zmienić te opcje na stałe musisz wprowadzić zmiany w plikach konfiguracyjnych usługi '''syslogd'''.  Plik konfiguracyjny w systemie '''RH''' programu '''syslogd''' znajduje się w ścieżce ''/etc/sysconfig/syslog''.

 
== Rejestrowanie komunikatów jądra ==

Zarówno '''[[dmesg]]''' jak i '''klogd''' umożliwiają ustawienie poziomu szczegółowości komunikatów wypisywanych na konsoli za pomocą opcji wierszaz poleceń

 dmesg -n 2

Na poziomie 7 wyświetlanych jest najwięcej komunikatów np informacje diagnostyczne, które niekoniecznie nam są przzydatne. Poziom 1 wyświetla tylko komunikaty krytyczne. Niezależnie od tego jaki poziom wyświetlania ustawimy to wszystkie komunikaty i tak będą przekazywane do demona syslogd, powyższe polecenie zmniejsza jedynie ilość wyświetlania informacji na konsoli co czasami jest bardzo przydatne.

<br /><google1 style="4"></google1>