rsyslog日志分析講義

本文主要給大家介紹rsyslog日志分析講義，希望可以給大家補充和更新些知識，如有其它問題需要了解的可以持續在億速云行業資訊里面關注我的更新文章的。

1、安裝Apache

[root@localhost ~]# yum -y install httpd

# 開機自啟動

[root@localhost ~]# chkconfig httpd on

# 啟動httpd 服務

[root@localhost ~]# service httpd start

### 安裝apache 一些擴展,如果業務不需要可以不添加

[root@localhost ~]# yum -y install httpd-manual mod_ssl mod_perl mod_auth_mysql

現在直接在瀏覽器鍵入http://localhost  或 http://本機IP  ，應該會看到Apache的測試頁面，這里需要注意iptables的設置。

2、安裝配置MySQL

# mysql          客戶端程序

# mysql-server    服務端程序

# mysql-devel    開發設計的庫

[root@localhost ~]# yum -y install mysql mysql-server mysql-devel

# 開機啟動

[root@localhost ~]# chkconfig mysqld on

# 啟動mysqld服務

[root@localhost ~]# service mysqld start

# 進行一些安全性配置，刪除匿名用戶設置mysql管理密碼之類的。

[root@localhost ~]# /usr/bin/mysql_secure_installation

root@localhost ~]# netstat -tulpn | grep -i mysql

tcp        0      0 0.0.0.0:3306          0.0.0.0:*          LISTEN      1723/mysqld

OK， 我們看到mysqld已經啟動，監聽在3306端口上。

3、安裝php

安裝相關模塊：為了讓PHP支持MySQL，我們可以安裝php-mysql軟件包；也可使用以下命令搜索可用的php模塊

[root@localhost ~]# yum -y install php php-mysql

# 安裝php常用擴展

[root@localhost ~]# yum search php

[root@localhost ~]# yum -y install gd php-gd gd-devel php-xml php-common php-mbstring php-ldap php-pear php-xmlrpc php-imap

 ### 重啟httpd服務，這一步很重要

[root@localhost ~]# service httpd restart

然后，我們提供php頁面，測試

[root@localhost ~]# cd /var/www/html/

[root@localhost html]# vi index.php

<?php

    phpinfo();

?>

出現php的信息即可。LAMP安裝完畢。

接下來進行loganalyzer 的安裝。

1.下載loganalyzer.tar.gz

# wget http://download.adiscon.com/loganalyzer/loganalyzer-3.6.5.tar.gz

# tar xzf loganalyzer-3.6.5.tar.gz

2.在http中配置loganalyzer

# mv loganalyzer-3.6.5/src /var/www/html/loganalyzer

3.創建loganalyzer安裝的配置文件

# cd /var/www/html/loganalyzer

# touch config.php

# chown apache:apache config.php

# chmod 777 config.php

4.進入web界面進行installer

http://172.18.9.135/loganalyzer/

4.1 第一步就報錯了，別捉急 。

4.2

4.3Mysql 配置數據庫。

因為我們還沒有做數據庫的創建。所以先去配置數據庫在進行這一步的配置

Rsyslog MySQL Database: Syslog
Rsyslog MySQL Username: rsyslog
Rsyslog MySQL Password: MYSQLPASSWORD

4.3.1 檢查是否安裝了rsyslog軟件

# rpm -qa|grep rsyslog    //默認系統都安裝了該軟件

4.3.2 安裝rsyslog 連接MySQL數據庫的模塊

# yum install rsyslog-mysql –y

rsyslog-mysql 為rsyslog 將日志傳送到MySQL 數據庫的一個模塊，這里必須安裝。

配置rsyslog連接msyql

vi /etc/rsyslog.conf

$ModLoad ommysql 
*.* :ommysql:localhost,Syslog,rsyslog,123456

在 #### MODULES #### 下添加上面兩行。

開啟相關日志模塊

# vi /etc/rsyslog.conf

$ModLoad immark    #immark是模塊名，支持日志標記

$ModLoad imudp    #imupd是模塊名，支持udp協議

$UDPServerRun 514    #允許514端口接收使用UDP和TCP協議轉發過來的日志

4.3.3 配置數據庫

導入rsyslog-mysql 數據庫文件

# cd /usr/share/doc/rsyslog-mysql-5.8.10/

# mysql -uroot -pmysqlpassword < createDB.sql

查看做了哪些操作

# mysql -uroot –p

mysql> show databases;

mysql> show tables;

導入數據庫操作創建了Syslog 庫并在該庫中創建了兩張空表SystemEvents 和SystemEventsProperties。

創建rsyslog 用戶在mysql下的相關權限

# mysql -uroot –p

mysql> grant all on Syslog.* to rsyslog@localhost identified by '123456';

mysql> flush privileges;

mysql> exit

4.4  創建表

4.5 檢測sql結果

4.5創建管理員

創建完成以后就可以登錄了。大功告成。NO！

還有幾個比較難解決的報錯等著我們。這幾個報錯有些基本在baidu是收不到答案的。經過諸多嘗試終于讓我解決了。下面就貼出來供大家參考。

1. No syslog records found - Error Details

解決方法：

1.1修改/var/www/html/loganalyzer/config.php

$CFG['Sources']['Source1']['DBTableName'] = 'systemevents'; 為

$CFG['Sources']['Source1']['DBTableName'] = "SystemEvents";

1.2 更新數據庫配置

Mysql -uroot -p

Use Syslog；

mysql> update logcon_sources set DBTableName='SystemEvents' where ID=1;

mysql> flush privileges;

2.這個錯誤

這個錯誤是沒有配置rsyslog對mysql的連接。進行連接即可。參考4.3.2

可以做一個客戶端行為監控的小玩意兒。就是在日志中看到所有用戶執行了什么命令做了什么操作。

編輯/etc/bashrc，將客戶端執行的所有命令寫入系統日志/var/log/messages中。

# vi /etc/bashrc

在文件尾部增加一行

export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });logger "[euid=$(whoami)]":$(who am i):[`pwd`]"$msg"; }'

設置其生效

# source /etc/bashrc

配置完畢。這樣用戶的行為會被寫到messages中去。在loganalyzer中也可以看到。

看了以上關于rsyslog日志分析講義，希望能給大家在實際運用中帶來一定的幫助。本文由于篇幅有限，難免會有不足和需要補充的地方，如有需要更加專業的解答，可在官網聯系我們的24小時售前售后，隨時幫您解答問題的。