集中化日志服务器是安全事件归档的刚性基础设施，必须满足实时外发、独立存储、不可篡改时间线三条件；rsyslog可低成本实现：源端精准转发auth/authpriv日志至服务端，服务端按ip和日期隔离存储，再通过本地轮转、异机同步与sha256哈希锚定完成归档加固。
集中化日志服务器不是“锦上添花”，而是安全事件归档的刚性基础设施。攻击者入侵后第一动作往往是清空 /var/log/secure、/var/log/auth.log 等本地日志——若日志只存本地，等于把证据亲手交给对手。真正有效的安全事件归档，必须满足三个硬性条件：实时外发、独立存储、不可篡改时间线。Rsyslog 搭建的轻量级集中日志服务器，恰恰能以最小成本达成这三点。
一、核心配置：确保 auth/authpriv 日志可靠外发
安全事件（如暴力破解 SSH、sudo 提权、异常 root 登录）全部记录在 `auth` 和 `authpriv` 设施中。仅转发 `*.*` 会混入大量无关信息，增加分析噪音，也浪费带宽。在每台业务服务器（日志源）上，新建独立配置文件：
/etc/rsyslog.d/10-security-forward.conf写入以下内容（替换 192.168.10.50 为你的日志服务器真实 IP）：
auth,authpriv.* @@192.168.10.50:514
说明：
- @@ 表示 TCP 协议：相比 UDP（@），TCP 具备重传与确认机制，避免网络抖动导致关键登录失败日志丢失；
- 仅限定 auth/authpriv：精准捕获所有认证类行为，不掺杂 kernel 或 mail 日志；
- 配置独立文件（非直接改 /etc/rsyslog.conf），避免系统升级时被覆盖。
执行 systemctl restart rsyslog 后，用 logger -p authpriv.err "test security log" 在源服务器手动触发一条日志，再到日志服务器的接收目录检查是否落地，验证通路连通性。
二、服务端接收：按 IP 隔离 + 时间分片存储
集中服务器不能把所有日志揉进一个大文件。一旦某台服务器被攻陷，攻击者可能伪造日志污染全局；且审计时需快速定位某 IP 的完整操作链。在日志服务器上，编辑 /etc/rsyslog.d/20-remote-security.conf：
$template AuthByHost,"/var/log/security/%fromhost-ip%/%$YEAR%-%$MONTH%-%$DAY%/auth.log" auth,authpriv.* ?AuthByHost & ~
关键点：
- %fromhost-ip% 自动提取发送方真实 IP（非 DNS 名），杜绝主机名伪造；
-
日期子目录结构（如
/var/log/security/192.168.1.12/2026-06-17/auth.log）便于按天归档、定时压缩或同步至异地； - & ~ 阻止日志继续写入本地 /var/log/messages，避免重复和混淆。
重启 rsyslog 后，立刻生成对应目录结构。此时任意一台源服务器的 SSH 登录尝试，都会精准落入其 IP 对应的当日文件中，天然形成隔离的“数字取证沙盒”。
三、归档加固：本地快照 + 异机同步 + 时间戳锁定
归档 ≠ 存着不动。真正的安全归档必须防删、防改、可验证。建议采用三层策略：
- 本地层：启用 rsyslog 内置轮转，编辑 /etc/logrotate.d/rsyslog-remote，设置每日切割、保留 90 天、自动 gzip 压缩；
-
异机层：用
rsync --delete-after每日凌晨将/var/log/security/同步至局域网内另一台只读 NAS，该 NAS 禁用 shell 登录、关闭 root 远程访问； -
时间锚定：对每日归档完成的 tar.gz 文件，运行
sha256sum security-20260617.tar.gz > security-20260617.sha256，并将 .sha256 文件单独上传至离线备份介质（如加密 U 盘或 air-gapped 服务器）。该哈希值即为当日日志完整性“指纹”，事后任何篡改都可被立即识别。
四、实战排查：从归档中快速还原攻击路径
当 SOC 发现某 IP 出现横向移动迹象，归档结构让溯源变得极简：例如，发现 192.168.1.15 在 6 月 16 日 02:18 尝试 SSH 登录 192.168.1.22 并成功：
- 直接进入
/var/log/security/192.168.1.22/2026-06-16/auth.log，搜索Accepted password，确认登录时间与用户； - 再查
/var/log/security/192.168.1.15/2026-06-16/auth.log，看其当天是否有异常 sudo 或 su 行为； - 结合两台机器的
messages或secure中的 cron、systemd 日志，判断是否植入后门或定时任务。
整个过程无需跳板机、不依赖网络连通性（归档文件本地可读），且因目录结构清晰、时间精确到日，排查耗时从小时级压缩至分钟级。
