Replicar logs

Syslog soporta escribir el log en una máquina remota. Sin embargo... ¿como va a ser distinto si se escribe lo mismo?

Salu2.Ferdy

En caso de que alguien entre en el sistema se puede cargar los logs para evitar ser descubierto, replicándolos en otro no podría modificarlos.

man syslog.conf

Ahí tienes ejemplos, es tan sencillo como en vez de poner el fichero donde se debe guardar el log, poner @host donde se enviarán. Por supuesto el host remoto debe tener a syslogd escuchando.

Uhm... si alguien puede editar el log... por qué supones que los logs del otro serán buenos.

Vamos que si editan el log... pueden haber troyanizado syslog para que envíe los cambios tambien al otro server.

Como medida de seguridad, no vale.

Salu2.Ferdy

Pues tenia pensado eso precisamente, lo de tener los 2 log's como medida de seguridad. Pero es verdad, no habia contado con el posbiel "trtoyanizado" de syslog. ¿Que opción "segura" podría haber?

Que tengas un MD5 de casi todos los binarios y demonios importantes en una máquina aparte o un CD o algo.

Que copies con esos ficheros el md5sum y lo que este necesite (aka una especie de jaula). Y que si observas algo "raro" compruebes todos los md5.

El syslog que loguea en paralelo te puede servir si desde esa máquina no se permite el login directo a la otra. Pero siempre como un añadido, no como la base de la seguridad.

Salu2.Ferdy

Buenas

si la salida de syslog la mandas a una impresora eso ya no podrán modificarlo

Si alguien se consigue loguear como root por ejemplo, eso aparecerá en el log, y por lo tanto en el host remoto. A partir de entonces pueden cambiar syslogd por uno troyanizado, pero el log del acceso ya no lo pueden borrar.

Claro, como única medida es bastante pobre, pero en conjunción con por ejemplo tripwire o msec es útil.

Muchas gracias a todos amigos. Voy a probar la sugerencia de ferdy, replicar en otra maquina e impedir el acceso desde la primera. Creo que es buena idea esa.