็†ฑ้–€ๅˆ†้กž
 ่ผ‰ๅ…ฅไธญ…
็›ฎ้Œ„

๐Ÿง Linux Log ๅ…จ้ขๅผทๅŒ–ๆŒ‡ๅ—：Auditd、Journalctl、Rsyslog、ELK / SIEM ๆ•ดๅˆๅฏฆๆˆฐ

wwfandy ่จˆ็ฎ—ไธญ…

    ๐Ÿง Linux Log ๅ…จ้ขๅผทๅŒ–ๆŒ‡ๅ—：Auditd、Journalctl、Rsyslog、ELK / SIEM ๆ•ดๅˆๅฏฆๆˆฐ

    Linux ็ณป็ตฑ็š„ไบ‹ไปถ็ด€้Œ„（Logging）ๆ˜ฏๆ‰€ๆœ‰่ณ‡ๅฎ‰、็ถญ้‹่ˆ‡ๅ•้กŒ่จบๆ–ท็š„ๆ ธๅฟƒ。 ๆœฌๆŒ‡ๅ—ๅฐ‡ๅฎŒๆ•ด่งฃๆž Auditd、Journalctl、Rsyslog、ELK / SIEM ๆ•ดๅˆ ็š„ๅฎŒๆ•ดๆต็จ‹，ไธฆๆไพ›ไผๆฅญ็ดšๆœ€ไฝณๅฏฆๅ‹™，่ฎ“ไฝ ่ƒฝๆ‰“้€ ๅฏ่ฟฝ่นค、ๅฏ็จฝๆ ธ、ๅ…ทๅฏ่ฆ–ๅŒ–่ƒฝๅŠ›็š„ๆ—ฅ่ชŒๅนณๅฐ。

    ๆœฌ็ฏ‡ๆถต่“‹：

    • Auditd：่กŒ็‚บ็จฝๆ ธ่ˆ‡ๅฎ‰ๅ…จไบ‹ไปถ่ฟฝ่นค
    • Journalctl：Systemd ๆ—ฅ่ชŒๆŸฅ่ฉข、็ฏฉ้ธ่ˆ‡ๆŒไน…ๅŒ–
    • Rsyslog：้›†ไธญๅผๆ—ฅ่ชŒๅ‚ณ่ผธ
    • ELK / SIEM：้ซ˜้šŽๅˆ†ๆž、่ฆ–่ฆบๅŒ–、ๅฎ‰ๅ…จๅ‘Š่ญฆ

    ๐Ÿ“Œ ไธ€、Linux Log ๆžถๆง‹ๅฟซ้€Ÿ็ธฝ่ฆฝ

    Linux ๅฎŒๆ•ด็š„ไบ‹ไปถ่จ˜้Œ„็ณป็ตฑ็”ฑไธ‰ๅฑค็ต„ๆˆ：

    ๅฑค็ดšๅ…ƒไปถ็›ฎ็š„
    ็จฝๆ ธๅฑคAuditd่ฟฝ่นค็ณป็ตฑๅฑค็ดšไบ‹ไปถ、ๆŒ‡ไปคๅŸท่กŒ、ๆช”ๆกˆๅญ˜ๅ–
    ๆ—ฅ่ชŒๅฑคSystemd Journalๆ‡‰็”จ็จ‹ๅผ่ˆ‡็ณป็ตฑๆœๅ‹™่จŠๆฏ
    ้›†ไธญๅ‚ณ่ผธๅฑคRsyslogๆ—ฅ่ชŒๆ”ถ้›†่ˆ‡่ฝ‰้€่‡ณ SIEM / ELK

    ้€™ไธ‰ๅฑคๅฐๆ‡‰ไผๆฅญๆ—ฅ่ชŒ้œ€ๆฑ‚：

    • ๅฎŒๆ•ดๆ€ง（Integrity） → Auditd
    • ๅฏ่ฟฝ่นคๆ€ง（Traceability） → Journalctl
    • ้›†ไธญๅˆ†ๆž（Correlated Analytics） → Rsyslog + SIEM

    ๐Ÿ“Œ ไบŒ、Auditd：ๆ ธๅฟƒ็จฝๆ ธ็ณป็ตฑ（Security Events）

    Auditd ๆ˜ฏ Linux ๅฎ‰ๅ…จ็จฝๆ ธๆ ธๅฟƒ，ๅฏ่ฟฝ่นค：

    • ๆช”ๆกˆๅญ˜ๅ–（read/write/delete）
    • ๆŒ‡ไปคๅŸท่กŒ（execve）
    • sudo ่กŒ็‚บ
    • ่ช่ญ‰、็™ปๅ…ฅๅคฑๆ•—
    • ็ณป็ตฑ่จญๅฎšไฟฎๆ”น

    ๐ŸŸฆ ๅŸบๆœฌๆŸฅ็œ‹

    sudo ausearch -m avc
sudo aureport --summary

    ๐ŸŸฆ ่จญๅฎš็จฝๆ ธ่ฆๅ‰‡

    -w /etc/passwd -p wa -k passwd_changes
-a exit,always -F arch=b64 -S execve -k exec_monitor

    Auditd ๆ˜ฏ SIEM ไธญ็š„ๆ ธๅฟƒไพ†ๆบ，ๅฏๆไพ›「ไธๅฏๅฆ่ชๆ€ง」็ด€้Œ„。

    ๐Ÿ“Œ ไธ‰、Journalctl：Systemd ็š„ๆ—ฅ่ชŒๆ ธๅฟƒ

    Journalctl ๆไพ›ๆฏ”ๅ‚ณ็ตฑ syslog ๆ›ดๅฎŒๆ•ด็š„็ตๆง‹ๅŒ–ๆ—ฅ่ชŒ，ๅŒ…ๅซ：

    • ็ณป็ตฑๆœๅ‹™ๅ•Ÿๅ‹•่ˆ‡้Œฏ่ชค
    • Kernel ่จŠๆฏ
    • ๆ‡‰็”จ็จ‹ๅผ่ผธๅ‡บ

    ๐ŸŸฆ ๆŸฅ็œ‹ๆœๅ‹™ๆ—ฅ่ชŒ

    journalctl -u nginx

    ๐ŸŸฆ ๆŒ็บŒ่ฟฝ่นค（tail）

    journalctl -f

    ๐ŸŸฆ ๆŒ‡ๅฎšๆœŸ้–“ๆŸฅ่ฉข

    journalctl --since "1 hour ago"

    ๐ŸŸฆ ๅ•Ÿ็”จๆ—ฅ่ชŒๆŒไน…ๅŒ–

    sudo mkdir -p /var/log/journal
sudo systemctl restart systemd-journald

    ่‹ฅๆœช้–‹ๅ•Ÿ，้‡้–‹ๆฉŸๅพŒๆ—ฅ่ชŒๆœƒๆถˆๅคฑ。

    ๐Ÿ“Œ ๅ››、Rsyslog：้›†ไธญๅผๆ—ฅ่ชŒๅ‚ณ่ผธ่ˆ‡ SIEM ๆ•ดๅˆ

    Rsyslog ๆ˜ฏ Linux ๆœ€ๆˆ็†Ÿ็š„ๆ—ฅ่ชŒๅ‚ณ่ผธๆก†ๆžถ，ๅฏไปฅ：

    • ๆ”ถ้›†ๆœฌๅœฐๆ—ฅ่ชŒ
    • ๅ‚ณ้€ๅˆฐ Log Server
    • ๆ”ฏๆด TCP、UDP、TLS ๅŠ ๅฏ†ๅ‚ณ่ผธ

    ๐ŸŸฆ ๅ‚ณ้€ๆ‰€ๆœ‰ๆ—ฅ่ชŒๅˆฐ้ ็ซฏ SIEM

    ็ทจ่ผฏ /etc/rsyslog.d/90-siem.conf： 
    *.* @@10.10.10.50:514
    > @ = UDP > @@ = TCP（ๆŽจ่–ฆ）

    ๐ŸŸฆ ๅ•Ÿ็”จ่จญๅฎš

    sudo systemctl restart rsyslog

    Rsyslog ่ˆ‡ ELK / Splunk ๅฎŒๅ…จ็›ธๅฎน，ๆ˜ฏ้›†ไธญๅผๆ—ฅ่ชŒ็š„ๆจ™ๆบ–ๅšๆณ•。

    ๐Ÿ“Œ ไบ”、ELK / SIEM：ๆ—ฅ่ชŒๅˆ†ๆž、่ฆ–่ฆบๅŒ–่ˆ‡ๅ‘Š่ญฆ

    ELK（Elasticsearch + Logstash + Kibana）ๅฏๆไพ›：

    • ๅ…จๆ–‡็ดขๅผ•
    • ๅ„€่กจๆฟ（Dashboard）
    • ๆ”ปๆ“Šๅตๆธฌ
    • ไบ‹ไปถ้—œ่ฏๅˆ†ๆž（Correlation）

    ๐Ÿ“ฆ ๅ…ธๅž‹ๆžถๆง‹ๆต็จ‹

    Auditd → Journalctl → Rsyslog → Logstash → Elasticsearch → Kibana

    ๐ŸŽฏ SIEM ๅฏๅตๆธฌ็š„่กŒ็‚บๅŒ…ๅซ：

    • ๆšดๅŠ›็™ปๅ…ฅๆ”ปๆ“Š
    • ๆ•ๆ„Ÿๆช”ๆกˆ่ฎ€ๅฏซ
    • sudo ็•ฐๅธธไฝฟ็”จ
    • ๅฏ็–‘็š„ execve ้€ฃ็บŒๅŸท่กŒ
    • ้ซ˜ๆฌŠ้™ๅธณ่™Ÿๆ–ฐๅขž

    ้‡้ปž： ๆ—ฅ่ชŒๅฟ…้ ˆ「ๅฏๆœๅฐ‹」ไธ”「ๅ…ทๅ‚™ไธŠไธ‹ๆ–‡」，ELK ๆ‰่ƒฝๅšๆœ‰ๆ•ˆๅˆ†ๆž。

    ๐Ÿ“Œ ๅ…ญ、ๅฎŒๆ•ด็š„ Linux Logging ๆœ€ไฝณๅฏฆๅ‹™

    • ๅ•Ÿ็”จ Auditd ไธฆ็ขบไฟๆœ‰้ฉ็•ถ่ฆๅ‰‡
    • ๅ•Ÿ็”จ Journal ๆ—ฅ่ชŒๆŒไน…ๅŒ–
    • Rsyslog ๅ‚ณ้€ๆ‰€ๆœ‰ๆ—ฅ่ชŒๅˆฐ้›†ไธญไผบๆœๅ™จ
    • ELK/Splunk ๅปบ็ซ‹ๅ„€่กจๆฟ（็™ปๅ…ฅ้Œฏ่ชค、sudo、ๆช”ๆกˆๅญ˜ๅ–）
    • ๅฎšๆœŸๆชขๆŸฅ Auditd Policy ้ฟๅ…่ชคๅ ฑ

    ๐Ÿ“Œ ไธƒ、ๅธธ่ฆ‹้Œฏ่ชค่ˆ‡้™ท้˜ฑ

    ❌ Journalctl ๆฒ’ๆœ‰ๆŒไน…ๅŒ–

    ้‡้–‹ๆฉŸๅพŒๆ—ฅ่ชŒๆถˆๅคฑ → ็„กๆณ•ๅš Forensics。

    ❌ ๅ…จ้ƒจๆ—ฅ่ชŒไธŸ้€ฒ ELK ้€ ๆˆ็ˆ†้‡

    ๅปบ่ญฐๅ…ˆๅš Parser ่ˆ‡็ญ‰็ดšๅˆ†้กž。

    ❌ ๆฒ’ๆœ‰ Auditd ่ฆๅ‰‡，ไบ‹ไปถไธๅฎŒๆ•ด

    ELK ๅช่ƒฝ็œ‹ๅˆฐ service log，่€Œ้ž็ณป็ตฑ่กŒ็‚บ。

    ๐Ÿ“Œ ๅ…ซ、็ต่ชž

    Linux ็š„ๆ—ฅ่ชŒ่ƒฝๅŠ›ๆฏ”ไธ€่ˆฌ่ช็Ÿฅๆ›ดๅผทๅคง。 ๅพž Auditd ็š„็จฝๆ ธ่ƒฝๅŠ›、Journalctl ็š„็ตๆง‹ๅŒ–ๆ—ฅ่ชŒ，ๅˆฐ Rsyslog ็š„้›†ไธญๆ”ถ้›†，ๅ†ๅˆฐ ELK/SIEM ็š„่ฆ–่ฆบๅŒ–็›ฃๆŽง，ไฝ ๅฏไปฅๆ‰“้€ ไธ€ๅ€‹ไผๆฅญ็ดš、ๅฏ็จฝๆ ธ、ๅฏ่ฟฝ่นค็š„็ณป็ตฑๅฎ‰ๅ…จๅนณๅฐ。

    ๅฆ‚้œ€ๆ›ดๆทฑๅ…ฅๆ•ดๅˆ（Ex: Filebeat、OpenSearch、SOAR ่‡ชๅ‹•ๅŒ–ๅ‘Š่ญฆ），ๆˆ‘ไนŸๅฏไปฅๅ”ๅŠฉ่ฃฝไฝœๅปถไผธ็ฏ‡。

    ๐Ÿ”— ๅปถไผธ้–ฑ่ฎ€

    ๐Ÿ’ฌ ๆญก่ฟŽๅœจไธ‹ๆ–น็•™่จ€ไบคๆต！

    ๆƒณไบ†่งฃๆ›ดๆทฑๅ…ฅ็š„ๆ—ฅ่ชŒๅˆ†ๆž？ELK / SIEM ้ƒจ็ฝฒ？ๆˆ–ๆ˜ฏ Auditd ่ฆๅ‰‡ๆœ€ไฝณๅŒ–？ๆญก่ฟŽ็•™่จ€ไบคๆต！

    — WWFandy・Linux Logging / SIEM ๆŠ€่ก“็ญ†่จ˜

    ๆจ™็ฑค：
    ๐Ÿ”— ๅˆ†ไบซ้€™็ฏ‡ LINE Facebook X

    ๆฒ’ๆœ‰็•™่จ€:

    ๅผต่ฒผ็•™่จ€

    ๅญ—็ดš