日志审计系统属于基础软件吗

日志审计系统属于基础软件。根据查询相关公开信息，日志审计系统是属于IT行业的基础软件。日志审计系统是一种用于全面收集企业IT系统中常见的安全设备、网络设备、数据库、服务器、应用系统、主机等设备所产生的日志（包括运行、告警、 *** 作、消息、状态等）并进行存储、监控、审计、分析、报警、响应和报告的系统。

绿盟日志审计系统是一款用于日志管理和审计的软件，当无法收到日志时，可以考虑以下几个方面：1检查绿盟日志审计服务器是否正常运行;2检查日志采集代理是否正常运行，是否配置正确;3如果是网络日志，要检查网络是否正常，防火墙是否阻止采集。4如果是本地日志，需要确保日志输出路径和格式是否正确，检查是否有权限等因素影响。对于以上情况，需要根据实际情况进行排查，并及时解决，以保障日志审计系统的正常运行和数据安全。

#每日三件事，第990天#

      《中华人民共和国网络安全法》第二十一条第一款第三项规定网络运营者应采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。在GB/T22239《网络安全等级保护基本要求》的安全计算环境中，对安全审计也有明确的要求。

      在落实法律义务和责任，开展网络安全等级保护工作的过程中，日志服务器成了必不可少的一项。商用的日志审计系统固然好，但利用CentOS7也可以做一个简单的日志服务器，收集网络中其他设备的日志信息。

日志服务器端的配置：

yum install syslog，其实CentOS7默认就已经安装了rsyslog服务。系统会自动检测，并不会重新安装一遍syslog服务。

vim /etc/rsyslogconf，找到#Providers TCP syslog reception这一行，把下面两行前面的#去掉即可：

#Providers TCP syslog reception

$ModLoad imtcp

$InputTCCPServerRun 514

======分割线 ======

在/etc/rsyslogd/创建一个名为client_ipconf的文件，每个日志发送客户端创建一个文件。我的实验环境中有一个ip为19216811的客户端，因此创建一个19216811conf的文件。

vim /etc/rsyslogd/19216811conf

:fromhost-ip,isequal, "19216811" /var/log/client/19216811log

systemctl restart rsyslog

重启之后一定要检查一下，使用命令：systemctl status rsyslog，并且保证rsyslog服务能够在开机时自动启动。

客户端的配置如下：

vim  /etc/rsyslogconf，去掉#Providers TCP syslog reception下面两行的注释：

#Providers TCP syslog reception

$ModLoad imtcp

$InputTCCPServerRun 514

在最后一行添加：

@@192168110:514

其中192168110是日志服务器的IP地址。

systemctl restart rsyslog，并查看rsyslog的状态，保证服务在开机时自动启动。

此时在日志服务器上就可以接收到客户端发来的日志信息了。

您好，很高兴为您解答。

日志审计系统的需求分析

日志很早就有，日志对于信息安全的重要性也早已众所周知，但是对日志的真正重视却是最近几年的事情。

当今的企业和组织在IT信息安全领域面临比以往更为复杂的局面。这既有来自于企业和组织外部的层出不穷的入侵和攻击，也有来自于企业和组织内部的违规和泄漏。

为了不断应对新的安全挑战，企业和组织先后部署了防病毒系统、防火墙、入侵检测系统、漏洞扫描系统、UTM，等等。这些安全系统都仅仅防堵来自某个方面的安全威胁，形成了一个个安全防御孤岛，无法产生协同效应。更为严重地，这些复杂的IT资源及其安全防御设施在运行过程中不断产生大量的安全日志和事件，安全管理人员面对这些数量巨大、彼此割裂的安全信息， *** 作着各种产品自身的控制台界面和告警窗口，显得束手无策，工作效率极低，难以发现真正的安全隐患。

另一方面，企业和组织日益迫切的信息系统审计和内控、以及不断增强的业务持续性需求，也对当前日志审计提出了严峻的挑战。下表简要列举了部分相关法律法规对于日志审计的要求:

尤其是国家信息系统等级保护制度的出台，明确要求二级以上的信息系统必须对网络、主机和应用进行安全审计。

综上所述，企业和组织迫切需要一个全面的、面向企业和组织IT资源（信息系统保护环境）的、集中的安全审计平台及其系统，这个系统能够收集来自企业和组织IT资源中各种设备和应用的安全日志，并进行存储、监控、审计、分析、报警、响应和报告。

日志审计系统的基本组成：

对于一个日志审计系统，从功能组成上至少应该包括信息采集、信息分析、信息存储、信息展示四个基本功能：

1)   日志采集功能：系统能够通过某种技术手段获取需要审计的日志信息。对于该功能，关键在于采集信息的手段种类、采集信息的范围、采集信息的粒度（细致程度）。

2)   日志分析功能：是指对于采集上来的信息进行分析、审计。这是日志审计系统的核心，审计效果好坏直接由此体现出来。在实现信息分析的技术上，简单的技术可以是基于数据库的信息查询和比较；复杂的技术则包括实时关联分析引擎技术，采用基于规则的审计、基于统计的审计、基于时序的审计，以及基于人工智能的审计算法，等等。

3)   日志存储功能：对于采集到原始信息，以及审计后的信息都要进行保存，备查，并可以作为取证的依据。在该功能的实现上，关键点包括海量信息存储技术、以及审计信息安全保护技术。

4)   信息展示功能：包括审计结果展示界面、统计分析报表功能、告警响应功能、设备联动功能，等等。这部分功能是审计效果的最直接体现，审计结果的可视化能力和告警响应的方式、手段都是该功能的关键。

日志审计系统的选型指南：

那么，我们如何选择一款合适的日志审计系统呢？评价一款日志审计系统需要关注哪些方面呢？笔者认为至少应该从以下几个方面来考虑：

1、  由于一款综合性的日志审计系统必须能够收集网络中异构设备的日志，因此日志收集的手段应要丰富，建议至少应支持通过Syslog、SNMP、NetFlow、ODBC/JDBC、OPSEC LEA等协议采集日志，支持从Log文件或者数据库中获取日志。

2、  日志收集的性能也是要考虑的。一般来说，如果网络中的日志量非常大，对日志系统的性能要求也就比较高，如果因为性能的问题造成日志大量丢失的话，就完全起不到审计的作用的了。目前，国际上评价一款日志审计产品的最重要指标叫做“事件数每秒”，英文是Event per Second，即EPS，表明系统每秒种能够收集的日志条数，通常以每条日志05K～1K字节数为基准。一般而言，EPS数值越高，表明系统性能越好。

3、  应提供精确的查询手段，不同类型日志信息的格式差异非常大，日志审计系统对日志进行收集后，应进行一定的处理，例如对日志的格式进行统一，这样不同厂家的日志可以放在一起做统计分析和审计，必须注意的是，统一格式不能把原始日志破坏，否则日志的法律效力就大大折扣了。

4、  要让收集的日志发挥更强的安全审计的作用，有一定技术水平的管理员会希望获得对日志进行关联分析的工具，能主动挖掘隐藏在大量日志中的安全问题。因此，有这方面需求的用户可以重点考查产品的实时关联分析能力。

5、  应提供大容量的存储管理方法，用户的日志数据量是非常庞大的，如果没有好的管理手段，不仅审计查询困难，占用过多的存储空间对用户的投资也是浪费。

6、  日志系统存储的冗余非常重要，如果集中收集的日志数据因硬件或系统损坏而丢失，损失就大了，如果选购的是软件的日志审计系统，用户在配备服务器的时候一定要保证存储的冗余，如使用RAID5，或专用的存储设备，如果选购的是硬件的日志审计系统，就必须考查硬件的冗余，防止出现问题。

7、  应提供多样化的实时告警手段，发现安全问题应及时告警，还要提供自定义报表的功能，能让用户做出符合自身需求的报表。

以上是笔者针对日志审计系统的选型提出的几个建议，但在实际中，还有一些其他的问题需要考虑，像厂商的支持服务能力、产品案例的应用等等，这里就不一一列举了。

总之，信息安全基础设施的日趋复杂，使得我们已经从简单的日志管理时代迈入了系统性的日志综合审计时代，日志对于网络与信息安全的价值和作用必将越发重要。

如若满意，请点击右侧采纳答案，如若还有问题，请点击追问
希望我的回答对您有所帮助，望采纳！
                                                                                                                           ~ O(∩_∩)O~

综合日志审计设备不可以通过udp协议来接收日志。设备侧配置日志要发送日志到日志服务器的时候需要配置源接口与CSAP-SA-M综合日志审计平台的日志源相同，设备侧日志发送的源接口是可选的，在这里必须要填写。

---