日志审查过程

Question

目前，我有一个相当大的syslog-ng集群设置，这是我的主要日志聚合点。为了审计目的，我需要能够确认某些日志并将其标记为评审。如所有失败的sudo尝试。我可以很容易地将我感兴趣的日志发送到一个特定的文件夹、程序或电子邮件中，但是我想知道你们都在使用什么来进行审计。目前，我将它们发送到一个MySQL DB，并让它显示日志，如果我愿意的话，我可以单击确认并添加注释。虽然这种方法有效，但我想要一些更专业的外观。我曾考虑过将它们绑定到一个开放源代码的票务系统中，并在审查后将其关闭，但希望得到其他人的意见。

谢谢,

埃里克

Answer 1

一种选择是通过logstash输入日志。使用匹配规则匹配所需的消息，然后使用logstash电子邮件输出为每个邮件创建票证。