☰

Почему мой iptables не регистрирует события?

tag-icon • tag-icon 16.04 server iptables log logging
Почему мой iptables не регистрирует события?

У меня есть сервер Linux, работающий на Ubuntu 16.04. Сегодня я установил PSAD, систему обнаружения вторжений.

PSAD работает, анализируя файлы журналов iptables. Поэтому первое, что нужно сделать перед использованием PSAD, — включить журналирование iptables.

sudo iptables -A INPUT -j LOG
sudo iptables -A FORWARD -j LOG

Я запустил сканирование портов и вызвал PSAD status после этого. Он должен был показать, что сканирование портов произошло, но ничего не было показано. Только то, что сканирования портов еще не было.

Через некоторое время я понял, что iptables не ведет лог. Ни в одном файле журнала нет логов iptables. Я посмотрел

  • /var/log/messages, где они должны быть по умолчанию, но файл пуст
  • /var/log/kern.log
  • /var/log/syslog

Нет ничего. Может стоит отметить, что я использую UFW. Я следовалучебник по PSAD и UFW, но все равно ничего не происходит. Никаких логов в новых файлах, созданных в учебнике, тоже нет.

В чем может быть причина? Я не настраивал сервер самостоятельно. Самые важные меры безопасности были выполнены до меня. Возможно, они удалили какие-то пакеты. Было бы здорово, если бы вы могли мне помочь, сервер должен быть защищенным.

решение1

Правила в таблицах IP применяются сверху вниз.

Каждый раз, когда правила применяются к пакету, он обрабатывается так, как определено в правиле, и (если не настроено иначе) приводит к выходу из цепочки правил.

Это означает, что если ваше правило LOG размещено ниже других правил, оно будет применяться только к тем пакетам, которые ранее НЕ обрабатывались правилами.

Если вместо этого вы хотите регистрировать каждый пакет, поместите правило LOG в начало цепочки правил соответствия.


Кстати: файл журнала по умолчанию для iptables находится в/var/log/kern.log

решение2

Вероятно, отключено ведение журнала ядра в (r)syslog. Добавьте это в файл /etc/rsyslog.conf: kern.warn /var/log/firewall.logи перезагрузите syslog.

После этого создайте какое-нибудь правило, например:iptables -A -p tcp --dport 22 -j LOG --log-prefix " ALERT " --log-level=warning

И просканируйте свой SSH-порт.

решение3

Раскомментируйте строку /etc/rsyslog.conf:

module(load="imklog") # provides kernel logging support

Тогда беги

service rsyslog restart

Проверьте журнал с помощью

tail -f /var/log/syslog

ИЛИ:

date; stat /var/log/syslog

Связанный контент