/etc/rsyslog.conf

• rsyslog는 플러그인 모듈을 통해 각종 기능을 확장 할 수 있음
• 형식: <지시어> <매개변수>

$ cat /etc/rsyslog.conf
#### MODULES ####
$ModLoad imuxsock.so    # provides support for local system logging (e.g. via logger command)
$ModLoad imklog.so      # provides kernel logging support (previously done by rklogd)
  
# include config file
$IncludeConfig /etc/rsyslog.d/*.conf
  
#### RULES ####
# Log all kernel messages to the console and root.
*.alert                                                 /dev/console
*.alert                                                 :omusrmsg:root
  
# Everybody gets emergency messages
*.emerg                                                 :omusrmsg:*

주요 플러그인 모듈

• imuxsock: UNIX 소켓을 통한 로컬 로깅 서포트
• imklog: 커널 로그 서포트
• immark: 마크 (--MARK--) 서포트
• imudp: UDP로 syslog 메시지를 수신 (기본 포트 514)
• imtcp: TCP로 syslog 메시지를 수신 (기본포트 514)

—

로그 MARK

• immark 모듈을 사용하면 20분 간격으로 rsyslogd:--MARK-- 라는 타임스템프 마크를 출력
• 이는 rsyslog가 정상적으로 가동하는지를 확인하는데 사용할 수 있음
• 침입 사고가 발생하여 침입자가 아무런 로그를 출력하지 않도록 rsyslog를 변경한다면, 로그상에 MARK가 찍혀있지 않았을 것임이를 이용해서 중간에 로깅이 제대로 되지 않았다는 사실을 파악할 수 있음