1|2syslogの設定を見直すsyslog.confの見直しといっても、それほど多いわけではない。最近のUNIXでは、デフォルトの設定でも問題ない場合がほとんどだ。それでもUNIXの種類によっては、セキュリティ監査などを行ううえで必要となる設定がされていないこともあるので、設定がない場合は追加することをお勧めする。見直し1——auth(authpriv)のログをファイルに保存するシステムによっては、認証に関するauth(authpriv)のログがファイルに保存されない。auth(authpriv)では、だれがいつログインを試みたなどの記録が保存されることから、syslog.confに設定がない場合は追加するようにしよう。facilityがauthおよびauthpriv、priorityがinfo以上のログを/var/log/authlogに保存する。/var/log/authlog見直し2——514/udpによるログの受け取りを制限(syslogd)syslogでは、外部のサーバからネットワーク越しにログを受け取るために、syslogd起動時にデフォルトで514/udpをオープンする。その514/udpでは、特にアクセス制限が行われていないため、外部の攻撃者が514/udpに対して大量のパケットを送り込むことで、syslogサービスの異常停止(DoS)を狙った攻撃が可能となる。外部(インターネット)からの514/udpに対するアクセスをブロックしてあればひとまずは回避できるが、念には念をという意味で、サーバ自身で514/udpへのアクセスを制限することをお勧めする。外部からのログを受け取らない場合は、514/udpをオープンする必要はない。最近のsyslogdには、514/udpを受け取る/受け取らないのオプションが指定可能となっているので指定するとよい。オプションを変更する場合は、syslogdの再起動が必要となるので、基幹サーバなどの場合は注意が必要となる。FreeBSD、NetBSDの場合(-sを指定する)-sは、デフォルトで指定されているが、もし-sがない場合は指定する。指定する場合、syslogdをいったん停止し、以下を実行する。syslogd_flags="-s"の1行を設定する必要がある。Solarisの場合(-tを指定する)syslogdをいったん停止し、以下を実行する。以下の1行を変更する。Linuxの場合デフォルトでは514/udpをオープンしない。そのため特に変更の必要はないだろう。逆に-rオプションを指定すると、514/udpがオープンされる。見直し3——Solarisのログイン認証とsuをsyslog経由にするSolarisでは、ログイン認証やsuのログをsyslog経由で出力する変数(SYSLOG)が用意されている。デフォルトではsyslog経由で出力されるが、念のために既存の環境において有効(YESが設定かつコメントアウトされていない)であることを確認しておく。loginでは、SYSLOG_FAILED_LOGINS変数を有効、suでは、SULOG変数も合わせて有効にしておくとよい。/etc/default/loginSYSLOG=YESSYSLOG_FAILED_LOGINS=3/etc/default/suSYSLOG=YESSULOG=/var/adm/sulog両者ともFacilityがauth、Priorityがnotice、critのログが出力される。loginのSYSLOG_FAILED_LOGINS変数には、ログインの失敗回数の閾(しきい)値(上記の場合は3回)を設定することで、閾値を超えた場合にログに残すように設定できる。これをログに残す場合は、あらかじめ空の/var/adm/loginlogファイルを作成しておく必要がある*5。*5syslogの多くは、ログをファイルに格納する際、ファイルが存在しないと書き込まない。-HUPする前に、今回のようにtouchコマンドで空のファイルを作っておく必要がある。/var/adm/loginlog/var/adm/sulogファイルも同様に作成しておく。/var/adm/sulogtelnetなどで、3回ログインに失敗すると、/var/adm/loginlogに以下のようなメッセージがたて続けに出力される。2004また、/var/adm/sulogには、suを実行するたびに、以下のようなログが記録される。いつだれがsuを実行したのかが分かる。yasushi-root設定内容の確認(loggerコマンド)/etc/syslog.confの内容を実際に反映させたら、あとは本当に正しく反映されているかどうかを確認する必要がある。ログに出力されるのをじっと待つという手もあるが、そのために時間をつぶすのもばからしいので、そういった場合はloggerコマンドを利用するとよい。loggerコマンドは、多くのUNIXで標準インストールされており、任意のfacilityとpriorityを指定してログの出力を確認することができる。メッセージを指定したファイルに出力する。指定しない場合は、/etc/syslog.confの設定値が適用される。指定したfacilityとpriorityに記録する。facilityとpriorityは、ドット(.)で区切る。desu」の文字列を出力する。desu"kern.infoのデフォルトの出力先には、以下のようなログが記録される。desu今回は、syslogの基本と現状確認について説明した。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。