Centralized Log Server menggunakan rsyslog

Centralized Log Server menggunakan rsyslog

remote-syslog
Centralized log server itu apa?, jadi intinya kita akan membuat server yang nantinya akan menampung log-log dari server lain, bisa dari sitem lain misalkan Mikrotik, Cisco, Windows, ataupun keluarga sistem BSD/Linux. Yang kita akan gunakan disini adalah aplikasi rsyslog, kenapa rsyslog, bukan syslog-ng atau yang lainya?, jawabanya mudah saja, ya karena yang pernah saya pelajari itu big grin
Langkah pertama adalah menginstall paket yang kita butuhkan yaitu rsyslog, disini saya akan menggunakan Centos Linux, maka saya akan menggunakan pertintah yum berikut

yum install -y rsyslog

Setelah paket rsyslog terintall maka selanjutnya kita modifikasi konfigurasi rsyslog /etc/rsyslog.conf

vi /etc/rsyslog.conf

Pertama aktifkan opsi berikut dengan menghilangkan tanda pagar sehingga seperti berikut

$ModLoad imudp
$UDPServerRun 514

Kita asumsikan disini komputer syslog server menggunakan alamat ip 10.55.1.172 dan client syslog menggunakan alamat ip 10.55.1.35, maka selanjutnya kita tambahkan alamat ip client dalam daftar client dengan menambahkan baris berikut pada file konfigurasi rsyslog /etc/rsyslog.conf

$AllowedSender UDP, 10.55.1.35/32
if $fromhost-ip startswith '10.55.1.35' then /var/log/10.55.1.35.log

Dari opsi di atas kita akan set log yang di kirimkan dari alamat ip 10.55.1.35 maka akan di tulis ke dalam file /var/log/10.55.1.35.log. Sampai disini konfigurasi di sisi server kita cukupkan sampai disini, maka setelah itu kita restart service rsyslognya

/etc/init.d/rsyslog restart

selanjutnya kita buat konfigurasi di sisi client, disini anggap saja client juga sudah terinstall rsyslog nya dan sekarang kita tinggal mengkonfigurasinya

vi /etc/rsyslog.conf

Pada bagian bawah, file konfigurasi tambahkan opsi berikut

authpriv.* @10.55.1.172:514

Selanjutnya restart service rsyslog nya

/etc/init.d/rsyslog restart

Setelah itu kita coba login ke mesin 10.55.1.35 dengan menggunakan password yang salah, maka seharusnya log dari host dengan alamat ip 10.55.1.35 akan di kirimkan ke server log dengan ip 10.55.1.172 dan di tuliskan pada file /var/log/10.55.1.35.log dengan hasil log seperti berikut

Jun 23 20:59:53 rc sshd[6996]: Failed password for root from 10.13.254.172 port 46778 ssh2
Jun 23 20:59:54 rc sshd[6996]: Failed password for root from 10.13.254.172 port 46778 ssh2
Jun 23 20:59:54 rc sshd[6996]: Connection closed by 10.13.254.172 [preauth]

1,483 kali dilihat, 2 kali dilihat hari ini

Tinggalkan Balasan