日志對(duì)于網(wǎng)絡(luò)安全來(lái)說(shuō)非常重要，他記錄了系統(tǒng)每天發(fā)生的各種各樣的事情，你可以通過(guò)他來(lái)檢查錯(cuò)誤發(fā)生的原因，或者受到攻擊時(shí)攻擊者留下的痕跡。

　　Cisco是目前使用比較廣泛的一種路由器，在許多行業(yè)系統(tǒng)中有非常普遍的應(yīng)用。以下是在日常工作中積累的一些對(duì)Cisco路由器日志設(shè)置方面的經(jīng)驗(yàn)，這些實(shí)例都在實(shí)際應(yīng)用中調(diào)試通過(guò)并投入使用，我們可以利用路由器日志快速定位及排除故障。

　　路由器是各種信息傳輸?shù)臉屑~，被廣泛用于企事業(yè)單位的網(wǎng)絡(luò)建設(shè)中，承擔(dān)著局域網(wǎng)之間及局域網(wǎng)與廣域網(wǎng)之問(wèn)連接的重任。

　　一、什么是路由器日志

　　路由器的一些重要信息可以通過(guò)syslog機(jī)制在內(nèi)部網(wǎng)絡(luò)的Unix主機(jī)上作日志。在路由器運(yùn)行過(guò)程中，路由器會(huì)向日志主機(jī)發(fā)送包括鏈路建立失敗信息、包過(guò)濾信息等等日志信息，通過(guò)登錄到日志主機(jī)，網(wǎng)絡(luò)管理員可以了解日志事件，對(duì)日志文件進(jìn)行分析，可以幫助管理員進(jìn)行故障定位、故障排除和網(wǎng)絡(luò)安全管理。

　　二、路由器日志記錄存放的位置

　　sysloqd提供下列方法供您記錄系統(tǒng)發(fā)生的事件：

　　(1)指定的遠(yuǎn)端主機(jī)

　　如果你不將系統(tǒng)信息記錄在本地機(jī)器上，你可以寫(xiě)下網(wǎng)絡(luò)中另一個(gè)主機(jī)的名稱(chēng)，然后在主機(jī)名稱(chēng)前面加上"@"符號(hào)(例如(@)ccunix1.variox.int，但被你指定的主機(jī)上必須要有sysloqd)。這可以防止由于硬盤(pán)錯(cuò)誤等情況使日志文件丟失。

　　(2)一般文件

　　這是最普遍的方式。你可以指定好文件路徑與文件名稱(chēng)，但是必須以目錄符號(hào)"/"開(kāi)始，系統(tǒng)才會(huì)知道這是一個(gè)文件。例如/var/adm/maillog表示要記錄到/var/adm下面一個(gè)稱(chēng)為maillog的文件。如果之前沒(méi)有這個(gè)文件，系統(tǒng)會(huì)自動(dòng)產(chǎn)生一個(gè)。

　　(3)指定的終端機(jī)或其他設(shè)備

　　你也可以將系統(tǒng)記錄寫(xiě)到一個(gè)終端機(jī)或是設(shè)備上。若將系統(tǒng)記錄寫(xiě)到終端機(jī)，則目前正在使用該終端機(jī)的使用者就會(huì)直接在屏幕上看到系統(tǒng)信息(例如/dev /conso舊或是/dev/tty1，你可以拿一個(gè)屏幕專(zhuān)門(mén)來(lái)顯示系統(tǒng)信息)。若將系統(tǒng)記錄寫(xiě)到打印機(jī)(例如/dev/!p0)。，則你會(huì)有一長(zhǎng)條印滿(mǎn)系統(tǒng)記錄的紙，這樣網(wǎng)絡(luò)入侵者就不能修改日志來(lái)隱藏入侵痕跡。

　　以上就是syslog各項(xiàng)記錄程度及記錄方式的寫(xiě)法，可以依照自己的需求記錄下自己所需要的內(nèi)容。但是這些記錄都是一直追加上去的，除非將文件自行刪除掉，否則這些文件就會(huì)越來(lái)越大。Syslog設(shè)備是一個(gè)網(wǎng)絡(luò)攻擊者的顯著目標(biāo)，通過(guò)修改日志來(lái)隱藏入侵痕跡，因此我們要特別注意。

　　養(yǎng)成每周(或更短的時(shí)間)定期檢查一次記錄文件的習(xí)慣，并將過(guò)期的記錄文件依照流水號(hào)或是日期備份，以后查閱時(shí)也比較容易。千萬(wàn)不要記錄下*.*，這樣無(wú)論什么都被記錄下來(lái)，結(jié)果會(huì)導(dǎo)致文件太大，要找資料時(shí)根本無(wú)法馬上找出來(lái)。有人在記錄網(wǎng)絡(luò)日志時(shí)，連誰(shuí)去ping他的主機(jī)都要記錄，這樣不僅降低系統(tǒng)效率而且增加了磁盤(pán)用量。

　　三、什么程度才記錄日志

　　如你要系統(tǒng)去記錄info等級(jí)的事件，則notice、err、warning、Crit、alert、emerg等在info等級(jí)以上的也會(huì)被一并記錄下來(lái)。把上面所寫(xiě)的1、2項(xiàng)以小數(shù)點(diǎn)組合起來(lái)就是完整的"要記錄哪些東西"的寫(xiě)法。例如mail.info表示關(guān)于電子郵件傳送系統(tǒng)的一般性信息。auth.emerg就是關(guān)于系統(tǒng)安全方面相當(dāng)嚴(yán)重的信息。Ipr.none表示不要記錄關(guān)于打印機(jī)的信息(通常用在有多個(gè)紀(jì)錄條件時(shí)組合使用)。另外有三種特殊的符號(hào)可供應(yīng)用：

　　驚嘆號(hào)(!):表示不要記錄目前這一等級(jí)及其上的等級(jí)。

　　等號(hào)(=):表示只記錄目前這一等級(jí)，其上的等級(jí)不要記錄。例如上面的例子，平常寫(xiě)下info等級(jí)時(shí)，也會(huì)把位于info等級(jí)上面的notice.err.warning、crit、alert、emerg等其他等級(jí)也記錄下來(lái)。但若你寫(xiě)=info則就只有記錄info這一等級(jí)了。

　　星號(hào)(*):代表某一細(xì)項(xiàng)中所有項(xiàng)目。例如mail.*表示只要有關(guān)mail的，不管什么程度都要記錄下來(lái)。而*.info會(huì)把所有程度為infn的事件給記錄下來(lái)。

　　四、syslog設(shè)備

　　syslog設(shè)備，它是標(biāo)準(zhǔn)Unix，的跟蹤記錄機(jī)制，syslog可以記錄本地的一些事件或通過(guò)網(wǎng)絡(luò)記錄另外一個(gè)主機(jī)上的事件，然后將這些信息寫(xiě)到一個(gè)文件或設(shè)備中，或給用戶(hù)發(fā)送一個(gè)信息。

　　syslog機(jī)制主要依據(jù)兩個(gè)重要的文件:/etc/syslogd(守護(hù)進(jìn)程)和/etc /syslog.conf配置文件，syslogd的控制是由/etc/syslog.conf來(lái)做的。syslog.conf文件指明syslogd程序記錄日志的行為，該程序在啟動(dòng)時(shí)查詢(xún)syslog.conf配置文件。該文件由不同程序或消息分類(lèi)的單個(gè)條目組成，每個(gè)占一行。

　　對(duì)每類(lèi)消息提供一個(gè)選擇域和一個(gè)動(dòng)作域。這些域由tab隔開(kāi)(注意:只能用tab鍵來(lái)分隔，不能用空格鍵)，其中選擇域指明消息的類(lèi)型和優(yōu)先級(jí);動(dòng)作域指明sysloqd接收到一個(gè)與選擇標(biāo)準(zhǔn)相匹配的消息時(shí)所執(zhí)行的動(dòng)作。

　　每個(gè)選項(xiàng)是由設(shè)備和優(yōu)先級(jí)組成。也就是說(shuō)第一欄寫(xiě)"在什么情況下"及"什么程度"。然后用TAB鍵跳到下一欄繼續(xù)寫(xiě)"符合條件以后要做什么"。

　　當(dāng)指明一個(gè)優(yōu)先級(jí)時(shí)，syslogd將記錄二個(gè)擁有相同或更高優(yōu)先級(jí)的消息。每行的行動(dòng)域指明當(dāng)選擇域選擇了一個(gè)給定消息后應(yīng)該把他發(fā)送到哪兒。

　　第一欄包含了何種情況與程度，中間用小數(shù)點(diǎn)分隔。詳細(xì)的設(shè)定方式如下:

　　auth 關(guān)于系統(tǒng)安全與使用者認(rèn)證;

　　cron關(guān)于系統(tǒng)自動(dòng)排序執(zhí)行(CronTable);

　　daemon 關(guān)于背景執(zhí)行程序;

　　ken 關(guān)于系統(tǒng)核心;

　　Ipr　關(guān)于打印機(jī);

　　mai1 關(guān)于電子郵件;

　　news 關(guān)于新聞?dòng)懻搮^(qū);

　　syslog 關(guān)于系統(tǒng)記錄本身;

　　user 關(guān)于使用者;

　　uucp關(guān)于UNIX互拷(UUCP)。

　　五、路由器日志功能的具體設(shè)置方法

　　首先在UNIX主機(jī)上做下列工作，以超級(jí)用戶(hù)注冊(cè)進(jìn)入:

　　其中168.1.1.2為日志主機(jī)的IP地址。這樣對(duì)路由器進(jìn)行的一些操作將會(huì)記錄在mail_debug和r2509_debug這兩個(gè)文件中。

　　通過(guò)查看路由器日志，我們可以解決大部分的故障問(wèn)題，也方便查詢(xún)故障原因，更好的、更快速的解決網(wǎng)絡(luò)問(wèn)題。