我可以将审核日志发送到另一台计算机吗？

Question

在Linux (debian)机器上，我有一个NFS服务器似乎被请求超载了。为了识别问题，我尝试使用auditd/auditctl访问NFS服务器导出的分区中的文件进行监视。

问题是，我们的磁盘或nfs问题阻止auditd在/var/log/auditd/auditd.log上写入日志。

我真正需要的是将所有日志发送到其他地方，而不是本地文件上。

我能否简单地将所有日志从192.168.1.1重定向到192.168.1.2 (网络正常工作)？

Answer 1

我假设你是在Linux上用你如何表达你的问题。如果是这样的话，那么是的，看看audisp-遥控器和audisp。这些是Linux上当前审计工具中的标准组件。

Answer 2

可以在auditd中设置/etc/auditd.conf日志文件。您不能让auditd本身通过网络发送日志，但是可以将其定向到其他远程文件系统(如sshfs )上的文件。