• # rsyslog+evtsys

    Posté par . En réponse au message centraliser les log windows sur ubuntu. Évalué à 3.

    Avec ça je centralise tous les logs (même les switchs, ponts wifi, etc):

    1) Fichier "other-hosts-file.conf" à mettre dans /etc/rsyslog.d:
    # rsyslog config file to write to one file per host
    # (except for localhost)
    # note: intermediate directories will be automatically created
    # ip addresses will be resolved to build the file name
    $template DynFile,"/var/log/other-hosts/%fromhost%.log"
    :fromhost-ip, !isequal, "127.0.0.1" ?DynFile
    :fromhost-ip, !isequal, "127.0.0.1" ~

    2) Autoriser l'envoi en udp:
    RSYSLOG_CONFFILE="/etc/rsyslog.conf"
    # removing the # at the beginning of the lines
    sed -i -e 's/^#($ModLoad imudp.*)/1円/' ${RSYSLOG_CONFFILE}
    sed -i -e 's/^#($UDPServerRun 514.*)/1円/' ${RSYSLOG_CONFFILE}
    /etc/init.d/rsyslog restart

    3) Installer et configuer http://code.google.com/p/eventlog-to-syslog/ sur les win*

    4) Faire un fichier de conf pour logrotate (ça grossit vite les logs windows…)

    5) Faire quelques scripts pour grepper la dedans les trucs intéressants (ymmv: alertes virus, disques en train de lâcher, installs de softs, reboots switchs, adresses macs inconnues, etc)

    Pour ton cas particulier, y'a p'tet moyen de filtrer avant l'envoi ou avec rsyslog (rtfm).
    Tes windows, ils ouvrent une session en local ou sur un domaine ?
    Parce qu'en version kiss, y'a le genre "echo login de $username le $date à $time" >>\share\logins_win.log claqué à la fin du login script…