windows 2012 配置syslog日志转发 -回复
windows 2012 配置syslog日志转发-回复Windows Server 2012 配置Syslog 日志转发
Syslog 是一种广泛使用的日志协议，它能够帮助系统管理员集中管理不同设备生成的日志。
在Windows Server 2012 中，我们可以配置日志转发，将系统生成的日志从Windows 服务器发送到指定的Syslog 服务器。
本文将一步一步介绍如何在Windows Server 2012 上配置Syslog 日志转发。
第一步：准备工作
在开始配置Syslog 日志转发之前，请确保你具备以下条件：
1. 一台运行Windows Server 2012 的服务器。
2. 一台运行Syslog 服务的服务器。
3. 两台服务器之间的网络连接正常。
第二步：安装Telnet 客户端
在Windows Server 2012 上，默认情况下并没有Telnet 客户端，而在配置Syslog 日志转发时，我们需要使用Telnet 来测试Syslog 服务器是否可达。
因此，我们需要先安装并启用Telnet 客户端。
以下是安装Telnet 客户端的步骤：
1. 打开开始菜单，选择"服务器管理器"。
2. 在"服务器管理器" 中，点击"角色" - "添加角色"。
3. 在"添加角色向导" 中，点击"下一步"。
4. 在"服务器角色选择" 页面，勾选"Telnet 客户端"，然后点击"下一步"。
5. 在"功能选择" 页面，点击"下一步"。
6. 在"确认安装选择" 页面，点击"安装"。
7. 安装完成后，关闭"添加角色向导"。
第三步：配置Syslog 日志转发
在Windows Server 2012 上配置Syslog 日志转发的具体步骤如下：
1. 打开"事件查看器"。
点击开始菜单，搜索"事件查看器" 并打开它。
2. 在"事件查看器" 中，选择"Windows 日志" - "应用程序"。
3. 在右侧的"操作" 面板中，点击"操作" - "属性"。
4. 在"应用程序属性" 窗口中，选择"转发" 选项卡。
5. 在"转发" 选项卡中，勾选"启用遗弃"，然后点击"添加"。
6. 在弹出的"添加订阅器" 窗口中，输入Syslog 服务器的IP 地址或主机名，并选择"TCP" 或"UDP" 协议，然后点击"确定"。
7. 返回到"应用程序属性" 窗口，点击"确定"。
8. 在弹出的提示框中，选择"是"，以确认配置变更。
9. 完成配置后，关闭"事件查看器"。
第四步：测试Syslog 服务器是否可达
在完成上述配置后，我们需要使用Telnet 来测试Syslog 服务器是否可
达。
以下是测试的具体步骤：
1. 点击开始菜单，搜索"命令提示符" 并打开它。
2. 在命令提示符窗口中，输入以下命令进行测试：
telnet [Syslog 服务器的IP 地址或主机名] [Syslog 服务器的端口号]
例如，telnet 192.168.0.100 514
3. 如果命令提示符窗口显示"已连接到[Syslog 服务器的IP 地址或主机名]"，则表示Syslog 服务器可达。
如果显示"无法打开到主机的连接" 或者"连接失败" 等错误信息，请检查网络连接和端口设置，并重新测试。
第五步：验证Syslog 日志转发配置
在完成上述配置后，我们需要验证Syslog 日志转发是否成功。
以下是验证的具体步骤：
1. 打开Syslog 服务器上的日志文件或终端，并监听指定的端口。
2. 在Windows Server 2012 上生成一些日志事件（例如，创建一个文件，启动一个服务等）。
3. 在Syslog 服务器上查看是否收到来自Windows Server 2012 的日志事件。
总结：
通过以上步骤，我们可以在Windows Server 2012 上成功配置Syslog 日志转发。
这将使系统管理员能够更方便地集中管理不同设备生成的日志，
并及时检测问题并采取必要的措施。
请确保在配置Syslog 日志转发时遵循最佳实践，并保障网络连接的安全和稳定性。
有了Syslog 日志转发的配置，我们可以更好地管理和维护Windows Server 2012 上的日志。
工控主机安全软件技术参数
1）至少支持WindowsXPSP2x86、Windows7x86/x64、Windows10x64、WindowsServer2003 x86/x64、WindowsServer2008R2x64、WindowsServer2012R2x64、WindowsServer2016x64操作系统版本
1.3主机加固
1）支持一键还原到未加固前的状态
2）支持对操作系统进行加固，包含：登录密码必须符合复杂性要求，具体指密码需满足（至少8位密码、大写字母、小写字母、特殊字符组合）、密码最长使用期限、确保密码字段不是空的、除root之外不存在UID0帐户、禁用SSHRoot登录、启Iptables、禁用发送数据包重定向、记录可疑数据包、禁用IP转发等功能
3）支持网络白名单自学习功能，学习到的网络白名单会以未开启状态加入网络白名单规则列表
4）白名单类型支持大于100字节且小于500M的文件，小于100字节且有可执行权限的文件，后缀为.sh，.py，.pyc，.pl，.jar，.war，.class的文件，和可执行文件和可执行脚本，加入白名单的程序能正常运行，防篡改；支持手动添加、批量导入及目录添加；并能记录程序路径和添加时间，以便后期行为追溯（提供产品功能截图）
3）图形界面管理程序：包括：Redhat6/7、fedora14/18、centOS6/7、Ubuntu10/12/14/16/18/19、优麒麟19、银河麒麟4、中标麒麟6/7、SUSE12
实配要求
1）需具备计算机信息系统安全专业产品销售许可证（主机安全检测类产品（三级品））
2）产品需具备计算机软件著作权登记证书
工控主机安全软件技术参数
指标项目
指标参数
主要参数
硬件规格：USB key
Syslog日志中心服务器收集windows和linux客户端日志
Syslog⽇志中⼼服务器收集windows和linux客户端⽇志Syslog⽇志中⼼服务器收集windows和linux客户端⽇志Vdi环境下，虚拟机太多，我们不可能⼀台⼀台登录到虚机⾥⾯看⽇志，配置⼀台⽇志中⼼服务器，收集、管理虚机的⽇志是最好的⽅法；这⾥介绍在windows下使⽤nxlog⽇志上传⼯具（在win7、server2008、2012上测试通过），并且占⽤的资源很⼩(见图)； linux下使⽤⾃带的syslog(Ubuntu14、12，centos7、6.5、6.4、6.3测试通过)，并指向syslog中⼼⽇志服务器，在syslog中⼼⽇志服务器上就能对⼤量虚机的⽇志进⾏管理了。
（⼀）客户端配置（1）Windows Nxlog客户端配置：附件安装包：这款软件可以在32位和64位os上安装。
安装好的位置如下图：⽰例是32位操作系统安装好后修改配置⽂件：打开conf⽂件夹下 nxlog.conf⽂件，按下图注释位置修改：1）填⼊⽂件安装路径(注意32位和64位os的路径不⼀样)2）使⽤udp协议3）接受消息的地址4）514端⼝配置好后启动nxlog服务，设成⾃动启动Nxlog在server2008下占⽤的资源图：（2）Linux下syslog客户端配置：修改配置⽂件：#vi /etc/rsyslog.conf在最后⼀⾏加⼊：*.* @169.169.169.169:514 #将所有消息发送到该地址重启服务：#service rsyslog restart（⼆）Syslog中⼼⽇志服务器配置：1）修改rsyslog.conf⽂件：#vi /etc/rsyslog.conf去掉$ModLoad imudp和 $UDPServerRun 514两⾏前⾯的注释#号2）# service rsyslog restart3）# ip net# ip net exec qrouter-1f6fafcf-8b73-4f59-9a38-b176b3649cac #需要修改qrouteriptables -t nat -A neutron-l3-agent-PREROUTING -p udp -d 169.169.169.169 --dport 514 -j DNAT --to 192.168.201.13:514#***********将发送到169.169.169.169 514端⼝的消息转发到syslog中⼼⽇志服务器192.168.201.13:514 需要修改成syslog中⼼⽇志服务器的IP和端⼝***********##service iptables restart验证：Syslog中⼼⽇志服务器上能看到时间⽇期计算机名事件代码的⽇志信息，跟windows下对⽐是⼀致的，这样在syslog服务器上就能实时看到Windows虚拟机的⽇志了，只要Windows虚机产⽣⽇志，都会马上传到syslog服务器上下图是Syslog客户端发送的消息Syslong中⼼⽇志服务器收到消息，可以看到虚机neustor的⽇志信息，跟syslog客户端发来的⼀致注：⽇志发送的是计算机名，如果虚机计算机名是⼀样的就⽆法辨别了，所以虚机计算机名需要修改，NewName.bat的作⽤是修改计算机名的，运⾏⼀次重启后随机⽣成计算机名；如果是⼤批量的创建虚拟机，可以将该批处理放在windows启动项，然后做成镜像，再创建虚拟机，虚机建好后⽣成的计算机名不⼀样，解决发送到syslog服务器⽇志重名⽆法辨别是哪台机器的问题。
Kiwi-Syslog日志服务器搭建
1.安装要求：系统：windows 2012 R2 Standerd环境：安装.net3.5和web服务软件版本：Kiwi Syslog Server 9.4.1 + SolarWinds Event Log Forwarder for Windows 日志服务器IP：192.168.4.142.安装过程：运行开始安装：至此，Kiwi Syslog server安装完成，开始激活。
3.软件激活：1）打开任务管理器：2）找到Keygen.Incl.Patch-REPT文件夹下的SolarWinds.Licensing.Framework.dll，复制替换C:\Program Files (x86)\Syslogd下的相同文件，3）运行Kiwi Syslog Server，Help-Enter license details，开始激活：4）单击“Copy U nique Machine ID”复制Machine ID：5）以管理员身份运行D:\share Syslog Server 9.4.1\Keygen.Incl.Patch-REPT下的Keygen：6）粘贴刚才复制的Machine ID，输入任意用户名，单击生成激活文件：7）将激活文件放置任意位置，方便一会使用：8）选择激活文件：9）至此，激活成功。
4.主要配置:5.客户端SolarWinds Event LogForwarder的安装：安装操作简易，这里不做详细。
运行软件：至此，windows下syslog搭建好，接下来是Linux配置syslog服务器。
6.CentOS配置rsyslog客户端远程记录日志：1）安装Rsyslog守护进程：# rpm -qa | grep rsyslog# rsyslogd –v若rsyslog守护进程没有出现在系统中，使用以下命令来安装：# yum install rsyslog2）配置Rsyslog守护进程为客户端：# vi /etc/rsyslog.conf添加以下声明，将IP地址替换为你的远程rsyslog服务器的IP地址：*.* @192.168.4.14:514// UDP端口（若需要可靠地协议，*.* @@192.168.4.14:514//TCP端口若想要转发服务器上的指定设备的日志消息，如内核设备，kern.* @192.168.4.14:514）修改配置文件后，重启进程以激活修改：CentOS 7：# systemctl restart rsyslog.serviceCentOS 6：# service rsyslog restart3）让Rsyslog进程自动启动，运行以下命令：CentOS 7：# systemctl enable rsyslog.serviceCentOS 6：# chkconfig rsyslog on7.华为交换机设置Syslog日志服务器日志获取：<Huawei> system-view[Huawei]info-center enable//开启信息中心[Huawei] info-center loghost 192.168.4.14 channel loghost//指定向日志主机输出日志信息的通道为loghost 通道[Huawei] info-center source default channel loghost debug state off log state off trap state off//关闭所有模块日志主机的log、trap、debug 的状态[Huawei] info-center loghost 192.168.4.14 facility local7 language English//将IP地址为192.168.4.14的主机作为日志主机，输出语言为英文[Huawei] info-center source default channel loghost log level informational//设置信息级别为informational，允许输出信息的模块为所有模块8.日志服务器搭建成功后效果截图：。
Windows主机下安装syslog日志客户端
Windows主机下安装syslog日志客户端一、为什么使用日志客户端对于unix类主机以及交换机、路由器、防火墙等的日志记录，都可以通过syslog协议记录传输，但是Windows操作系统本身是可以产生很多日志的，如用户的登录、服务的重启等，都会产生日志，这些信息会记录在操作系统中，不支持把日志发送到syslog服务器去，所以要安装第三方软件转换Windows的日志。
二、Evtsys介绍Evtsys是用C写的程序，提供发送Windows日志到syslog服务器的一种方式。
它支持Windows 2000、2003、Vis、XP和Server 2008，并且编译后支持32和64位环境。
它被设计用于高负载的服务器，Evtsys快速、轻量、高效率。
并可以作为Windows服务存在。
下载地址：/p/eventlog-to-syslog/三、Evtsys安装以及配置1.从官网点击download选择32位或者64位下载（此处以32位为例）2.下载后解压文件，Readme.rtf为说明文件，其余两个为程序文件32位系统evtsys安装copy evtsys.exe c:\windows\system32\copy evtsys.dll c:\windows\system32\cd c:\windows\system32evtsys.exe -i -h 192.168.1.41 -p 514net start evtsys64位系统evtsys安装copy evtsys.exe c:\windows\SysWOW64\copy evtsys.dll c:\windows\SysWOW64\cd c:\windows\SysWOW64evtsys.exe -i -h 192.168.1.41 -p 514net start evtsys3.开启系统相关审计打开windows组策略编辑器(开始->运行输入gpedit.msc) 在windows 设置－> 安全设置－> 本地策略－>审核策略中，打开你需要记录的windows日志。
H3C新一代防火墙平台维护指南
注意资源对象、策略的配置方法。注意策略与会话的关系。
善用域间策略以实现加固系统的目的。
12
慎用域间策略加速
相同源、目的域之间有大量规则时使能才有意义。 域间策略加速后不能再修改域间策略，会引起策略失效。 先关闭加速 、修改策略后再重新加速。 非特定测试类场景不启用该功能。ACL加速与之类似。
IRF2
支持跨板聚合
不支持动态聚合
8
路由协议支持情况
RIP
OSPF PIM Static ISIS BGP
仅F5000A支持ISIS 仅F5000A支持BFD
9
安全区域
防火墙自身接口属于Local区域。 Management仅能与Management、Local区域互通。
新版本系统默认域间策略转发规则为全部阻断，老版本系统 默认安全区域之间按照优先级进行转发。
DMZ_A
172.16.0.0/24
DMZ_B
172.16.0.0/24
Trust
10.0.0.0/8
防火墙所有接口属于Local区域 将某个接口加入安全区域代表该接口所连接网络属于该区域
防火墙接收报文时，安全区域属性判定与转发模式有关
与Vlan接口类似的还有Tunnel接口、VT接口等
11
注意地址池优先级。
涉及VPN-Instance的，配置NAT命令时也不能少。
24
虚拟防火墙
虚拟防火墙不同虚墙之间的关系、及安全区域及域间策略。 虚拟防火墙与VRF（vpn-instance）之间的关系。
WINDOWS的SYSLOG配置方法
Windows事件接入需要在windows系统上安装应用程序 SEMCollector ，具体安装方法如下：1、将SEMCollector文件解压后运行setup.exe，按照提示后进行安装，如下图所示：1)点击“下一步”2)建议安装在默认目录，点击“下一步”3)点击“下一步”4)点击“下一步”5)点击“安装”6)点击“完成”2.2.2SEMCollector配置方法（1）打开配置文件“SEMCollectCfg.xml”目录为：“C:\Program Files\LinkTrust\SEMCollector\conf”文件内容如下：<?xml version="1.0" encoding="GB2312"?><CONFIGURATION><SYSTEM><SYSTEMNAME>Windows</SYSTEMNAME><SYSTEMTYPE>windows</SYSTEMTYPE><LOGPATH></LOGPATH><LOGFORMAT></LOGFORMAT><ACTION>Syslog</ACTION><ACTIONPARAM><PARAM>192.168.25.168</PARAM><PARAM>514</PARAM><PARAM>Local0</PARAM></ACTIONPARAM></SYSTEM><SYSTEM><SYSTEMNAME>IIS</SYSTEMNAME><SYSTEMTYPE>IIS</SYSTEMTYPE><LOGPATH>C:\WINNT\system32\LogFiles\MSFTPSVC1</LOGPATH><LOGFORMAT>ex%YY%MM%DD.log </LOGFORMAT><LOGPATH>C:\WINNT\system32\LogFiles\SMTPSVC1</LOGPATH><LOGFORMAT>ex%YY%MM%DD.log </LOGFORMAT><LOGPATH>C:\WINNT\system32\LogFiles\W3SVC1</LOGPATH><LOGFORMAT>ex%YY%MM%DD.log </LOGFORMAT><ACTION>Syslog</ACTION><ACTIONPARAM><PARAM>192.168.25.168</PARAM><PARAM>514</PARAM><PARAM>Local1</PARAM></ACTIONPARAM></SYSTEM></CONFIGURATION>（2）将文件中标红处改为采集机IP地址后保存，重启SEM-COLLECTOR服务即可。
日志审计系统
数据存储
支持对所管理设备的日志原始数据完整存储，支持数据本地集中存储、网络存储；
*支持根据设备重要程度设置独立设置每个被采集源的数据存储时间为1个月、3个月、6个月和永久保存等参数；
支持自定义存储位置，支持多盘并行存储，当磁盘满后自动切换存储位置，支持磁盘阵列、SAN、NAS等外部高性能存储；
统计报表管理
*系统支持智能报表创建，每添加一个日志源，系统自动分析日志源类型进行相应报表创建，无需人工干预，报表和资产一一对应；
报表支持基于全国地图、全球地图进行访问源、访问目的追踪。
支持自定义统计报表报告，支持PDF、word、execl、html等方式导出报表，支持实时报表、计划报表。
内置上百种报表模板。
支持基于拓扑图的日志源相关数据信息快速查看。
系统管理
支持用户按角色管理，支持三权分立；
支持将日志源管理权限分配给不同的操作管理员，不同用户管理不同日志源的日志，互不干扰；
支持设置非法用户访问控制策略；
系统具有防恶意暴力破解账号与口令功能，口令错误次数可设置，超过错误次数锁定，锁定时间可设置。
支持将常用IP地址或IP地址网段标记为自定义名称，在日志查询界面可以在IP列中对应悬浮显示自定义名称；
支持在一个日志源查询结果列表中以IP为条件直接跳转到其他日志源类型中进行查询；
支持在查询结果页面上直接下钻二次查询，快速定位关键日志，还可以返回上次查询条件；
查询结果可将归一化日志和原始日志同屏对比显示；
查询结果支持分页显示；
支持查询结果格式化日志、原始日志导出；
支持在日志查询结果上针对源IP、目的IP、操作、源端口、目的端口等字段一键快速统计，以饼图方式展示，对于源IP和目的IP（公网地址）还支持以中国地图、世界地图方式展示，在统计图上能够进行点击下钻查询对应条件的日志结果；
创建Windows下面的syslog日志服务器
我们需要测试一种集中日志系统，要在Windows上建立一个类Linux下的集中日志系统。
经过比较Winsyslog和Kiwisyslog等工具，最终选定Kiwisyslog(/)，它不仅功能齐全，而且提供免费的版本。
Kiwisyslog遵循标准的日志协议(RFC 3164)，并支持UDP/TCP/SNMP几种方式的日志输入。
它默认是个免费的功能受限版（但功能基本够用了，只是没有找到汉化），自带发送模拟器﹑日志浏览器等实用工具。
我还测试了一下把ACE日志写到syslog的功能。
过程记录如下：1）使用klog工具这个主要用到kiwisyslog的klog实用工具(这个工具同时提供dll库的调用方式,真是好东西，我决定以后在我的应用里都用它！)，它支持直接或用重定向的方法输出日志到kiwisyslog。
klog –m "It's almost lunchtime"DIR *.* | klog -h 192.168.1.2 -i但我试图使用ACE应用日志输出到kiwisyslog时（ace_app.exe | klog -h 192.168.1.2 -i的形式），发现日志内容里前后有乱码出现，即ACE的日志输出直接重定向到klog再转到kiwisyslog有问题；并且不能按时间一行一行的输出，而是等应用程序执行结束时一股脑输出到kiwisyslog（按回车换行切开成一条一条日志）。
如果程序非正常结束，还不能将输出日志内容传到kiwisyslog。
还有一个方法是在Windows通过设置可以把ACE日志输出到系统日志里面。
ACE_LOG_MSG->set_flags(ACE_Log_Msg::SYSLOG);然后按下面2）的方法转到kiwisyslog。
2）还可以把Windows下的事件日志转到Linux下的syslog我们需要第三方的软件来将windows的日志转换成syslog类型的日志后，转发给syslog服务器。
windows 2012 配置syslog日志转发 概述及解释说明
windows 2012 配置syslog日志转发概述及解释说明1. 引言1.1 概述本文旨在探讨Windows Server 2012中配置syslog日志转发的方法。
随着信息技术的迅速发展，企业对于日志管理和安全审计的需求也越来越重要。
而syslog作为一种标准化的日志传送协议，可以将系统和应用程序生成的日志事件转发到集中式服务器进行集中管理和分析。
本文将介绍如何在Windows Server 2012上配置syslog日志转发，以满足企业对于日志集中管理的需求。
1.2 文章结构本文将按以下结构组织内容：- 引言：介绍本文的目的和结构。
- 配置syslog日志转发的必要性及作用：论述为什么需要配置syslog日志转发以及它的作用与优势。
- Windows Server 2012中配置syslog日志转发的方法：详细介绍在Windows Server 2012上如何完成syslog日志转发的配置过程。
- 相关注意事项和常见问题解答：提供一些配置过程中需要注意的事项，并解答一些常见问题。
- 结论：总结全文内容，展望未来发展方向。
1.3 目的通过阅读本文，读者将了解到在Windows Server 2012中实现syslog日志转发所需的步骤和方法，并且理解syslog日志转发在企业中的重要性以及其带来的好处。
同时，本文还将帮助读者识别和解决在配置过程中可能遇到的一些常见问题，以确保配置顺利完成并保证日志的准确传递和管理。
以上是“1. 引言”部分内容，旨在引导读者进入本文主题，并提供对整篇文章涉及内容的概述。
2. 配置syslog日志转发的必要性及作用2.1 什么是syslog日志转发Syslog是一种标准的网络协议，用于收集、传输和存储各种设备和应用程序生成的系统日志信息。
而syslog日志转发则是指将这些系统日志从源设备或应用程序发送到目标服务器或存储位置的过程。
通过配置syslog日志转发，可以实现集中管理和分析各个设备和应用程序产生的日志数据。
CheckPoint防火墙安全配置基线备课讲稿
CheckPoint防火墙安全配置基线中国移动通信有限公司管理信息系统部2012年 04月备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录第1章概述 (1)1.1目的 (1)1.2适用范围 (1)1.3适用版本 (1)1.4实施 (1)1.5例外条款 (1)第2章帐号管理、认证授权安全要求 (2)2.1帐号管理 (2)2.1.1用户帐号分配* (2)2.1.2删除无关的帐号* (2)2.1.3帐户登录超时* (3)2.1.4帐户密码错误自动锁定* (4)2.2口令 (4)2.2.1口令复杂度要求 (4)2.3授权 (5)2.3.1远程维护的设备使用加密协议 (5)第3章日志及配置安全要求 (7)3.1日志安全 (7)3.1.1记录用户对设备的操作 (7)3.1.2开启记录NAT日志* (7)3.1.3开启记录VPN日志* (8)3.1.4配置记录流量日志 (9)3.1.5配置记录拒绝和丢弃报文规则的日志 (9)3.2安全策略配置要求 (10)3.2.1访问规则列表最后一条必须是拒绝一切流量 (10)3.2.2配置访问规则应尽可能缩小范围 (10)3.2.3配置OPSEC类型对象* (11)3.2.4配置NAT地址转换* (11)3.2.5限制用户连接数* (12)3.2.6Syslog转发SmartCenter日志* (12)3.3攻击防护配置要求 (14)3.3.1定义执行IPS的防火墙* (14)3.3.2定义IPS Profile* (15)第4章防火墙备份与恢复 (16)4.1.1SmartCenter备份和恢复(upgrade_tools)* (16)第5章评审与修订 (17)第1章概述1.1 目的本文档规定了中国移动管理信息系统部所维护管理的CheckPoint防火墙应当遵循的设备安全性设置标准，本文档旨在指导系统管理人员进行CheckPoint防火墙的安全配置。