14、日志管理与安全保障全解析

日志管理与安全保障全解析

1. 自定义应用日志报告错误处理

当对自定义应用（customapp）进行日志报告时可能会出现错误。在特定目录下的 customapp.conf 文件可指定一个日志文件组，该文件组会进一步明确需要检查的日志文件。

1.1 日志文件组配置

/logfiles/ 目录包含日志文件组的配置文件，这些文件定义了哪些日志文件属于特定组，同时也规定了从何处查找给定文件的存档。例如，可使用 /logfiles/custom.conf 指定在对 customapp 进行报告时应检查的日志文件，这些文件可以是多个单独的日志文件，如 /var/logs/custom1.log 和 /var/logs/custom2.log 。

1.2 过滤器与配置文件

不同应用所需的过滤器和配置文件各不相同，因此无法针对特定环境提供具体指导。可参考 此链接 对日志监控（logwatch）进行自定义设置。此外，若应用是常见产品，日志监控用户社区可能已为其生成了所需的自定义设置。可在 日志监控邮件列表 上获取帮助和参与讨论。

2. 保障事件日志安全

未被审查的事件日志价值不大，同样，不可信的事件日志也几乎没有价值。在重构事件时，需确保日志未被篡改。黑客入侵系统后，通常会首先删除日志，这不仅会增加法律追责的难度，还会使系统安全防护变得