18、实时日志监控与恶意流量防护指南

实时日志监控与恶意流量防护指南

1. 电子邮件脚本风险

在进行日志监控时，使用简单的脚本来捕获输入并将其作为电子邮件发送是一种常见的做法。以下是一个超简单的脚本示例：

#!/bin/bash
# a simple script to take input and email it
while read input;
do
echo $input | mail -s “Snort Trouble” you@yourdomain.com
done

虽然自动将日志条目发送到等待程序的标准输入似乎是一种基于日志内容生成实时警报的好方法，但当日志活动非常频繁时，这可能会使你面临拒绝服务攻击的风险。任何你让 syslog-ng 运行的程序都将以 syslog-ng 本身的权限运行，并且在日志守护进程停止之前不会终止。因此，要确保你选择的程序是安全且稳定的。此外，一定要设置一个良好的过滤器，以免意外引发电子邮件洪水。

2. 日志过滤

Syslog-ng 是一款出色的软件，它最出色的特性之一就是消息过滤。通过消息过滤， syslog-ng 会查看每个传入的日志条目，并根据消息的优先级、发送消息的主机、生成消息的程序，甚至消息文本是否与正则表达式匹配等标准来决定将其发送到何处。

使用消息过滤，你可以过滤传入的日志消息，并将所有包含 ATTACK-RESPONSES 的 Snort 消息单独挑出进行特别关注。与 <