15、事件日志管理与安全保障

事件日志管理与安全保障

1. 自定义应用日志报告错误处理

当你要求报告自定义应用（customapp）时可能会遇到错误。在当前目录下的 customapp.conf 文件会指定一个日志文件组，该日志文件组进而会指定要检查的日志文件。

/logfiles/ 目录包含日志文件组配置文件。这些文件主要定义哪些日志文件属于给定的组，同时也定义了在哪里可以找到给定文件的存档。因此，你可以使用 /logfiles/custom.conf 来指定在报告自定义应用时应检查哪些日志文件，这些文件可以是多个单独的日志文件，例如 /var/logs/custom1.log 和 /var/logs/custom2.log 。

由于不同应用所需的具体过滤器和配置文件各不相同，所以无法针对特定环境提供详细说明。你可以参考 这里 的说明，为特定应用自定义日志监控（LogWatch）。此外，如果你的应用是常见产品，日志监控用户社区可能已经为其生成了所需的自定义配置。你可以在 日志监控邮件列表 上找到很多帮助和讨论。

2. 保障事件日志安全

无人查看的事件日志几乎没有价值，同样，不可信的事件日志也价值不大。在尝试重构一系列事件时，必须确保日志未被篡改。黑客在获取系统访问权限后，通常会首先删除日志，这不仅会使法律追责变得困难，而且如果不知道黑客是如何获得访问权限的，保障系统安全以防止再次入侵也会变得更加困难。