基于Windows的Syslog日志系统设计与实现

2012-08-20王春彦杨晓朋

网络安全与数据管理 2012年4期

王春彦，朱磊，杨晓朋

(1.河南省电子产品质量监督检验所，河南郑州450003;2.河南省电力通信自动化公司，河南郑州450052）

日志一直都是网络管理人员在检查故障、排除网络错误时,查找“病源”的有利原始资料。通过对网络设备和主机系统的日志分析,可以快速了解网络上的活动,并对刚刚发生的或者正在进行的事件进行快速响应。随着网络规模的不断扩大和网络应用的不断增多，网络中也越来越多地面临各种安全威胁的困扰，传统的依靠单一设备或者人工管理的方式已不能应对日益复杂的网络威胁的挑战,不能及时发现和准确定位网络安全事件，也不能对安全事件可能造成的后果进行准确评估。

1 Syslog协议简述

Syslog是一种工业标准协议,可用来记录设备的日志。在Unix系统的路由器、交换机等网络设备中，Syslog记录系统中的任何事件,管理者可以通过查看系统记录，随时掌握系统状况。除了可以把日志信息保存在日志文件中之外，Syslog协议还允许设备把日志信息通过网络传递给日志服务器[1]。

2 日志采集和存储

现在大多数Syslog日志系统均采用Linux服务器，针对某企业的设备情况，这里建设一套Windows下的日志系统[2]，本文采用Kiwisyslog日志采集软件来收集需要的系统日志，Kiwisyslog遵循标准的日志协议(RFC 3164)，并支持 UDP/TCP/SNMP几种方式的日志输入，且它自带发送模拟器﹑日志浏览器等实用工具。

对于Kiwisyslog收集到的日志，选择实时存入数据库syslogd，日志格式如图1所示。