构建你的第一套Linux网络SIEM系统（从零开始搭建日志集中分析平台）

所需组件介绍

我们将使用以下开源工具构建 SIEM 系统：

• Rsyslog：轻量级日志转发器，用于将本地或远程日志发送到中央服务器。
• Elasticsearch：高性能的分布式搜索引擎，用于存储和索引日志数据。
• Logstash：日志处理管道，负责接收、解析和转换日志。
• Kibana：可视化界面，让你以图表形式查看和分析日志。

这套组合常被称为“ELK Stack”，是目前最流行的开源 日志集中管理 方案之一。

步骤一：准备环境

假设你有一台运行 Ubuntu 22.04 的服务器（IP：192.168.1.100），我们将在此服务器上部署整个 SIEM 系统。

首先，更新系统并安装必要依赖：

sudo apt updatesudo apt upgrade -ysudo apt install -y curl wget gnupg2 apt-transport-https  

步骤二：安装 Elasticsearch

添加 Elastic 官方 GPG 密钥和仓库：

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo gpg --dearmor -o /usr/share/keyrings/elastic-keyring.gpgecho "deb [signed-by=/usr/share/keyrings/elastic-keyring.gpg] https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee /etc/apt/sources.list.d/elastic-8.x.listsudo apt update  

安装 Elasticsearch：

sudo apt install elasticsearch -y  

启动并设置开机自启：

sudo systemctl enable elasticsearchsudo systemctl start elasticsearch  

步骤三：安装 Logstash 和 Kibana

继续在同一台服务器上安装另外两个组件：

sudo apt install logstash kibana -y  

启动服务：

sudo systemctl enable logstash kibanasudo systemctl start logstash kibana  

步骤四：配置 Rsyslog 发送日志

现在，我们需要让其他 Linux 主机（例如 Web 服务器）将日志发送到这台 SIEM 服务器。

在日志源服务器（如 192.168.1.101）上编辑 Rsyslog 配置：

sudo nano /etc/rsyslog.d/50-siem.conf  

添加以下内容（将 192.168.1.100 替换为你的 SIEM 服务器 IP）：

*.* @192.168.1.100:514  

重启 Rsyslog 服务：

sudo systemctl restart rsyslog  

步骤五：配置 Logstash 接收日志

在 SIEM 服务器上创建 Logstash 配置文件：

sudo nano /etc/logstash/conf.d/syslog.conf  

粘贴以下内容：

input {  udp {    port => 514    type => syslog  }}filter {  if [type] == "syslog" {    grok {      match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\[%{POSINT:syslog_pid}\])?: %{GREEDYDATA:syslog_message}" }    }    date {      match => [ "syslog_timestamp", "MMM  d HH:mm:ss", "MMM dd HH:mm:ss" ]    }  }}output {  elasticsearch {    hosts => ["localhost:9200"]    index => "syslog-%{+YYYY.MM.dd}"  }}  

重启 Logstash 使配置生效：

sudo systemctl restart logstash  

步骤六：访问 Kibana 查看日志

打开浏览器，访问 http://192.168.1.100:5601。

首次使用时，需在 Kibana 中创建索引模式（Index Pattern）：

1. 点击左侧菜单 “Management” → “Stack Management” → “Index Patterns”
2. 点击 “Create index pattern”
3. 输入 syslog-* 作为名称
4. 选择时间字段 @timestamp
5. 点击 “Create index pattern”

完成后，进入 “Discover” 页面，你就能看到实时传入的日志了！

进阶建议：增强 入侵检测系统 能力

当前系统已具备基本的 网络安全监控 功能。若想进一步提升威胁检测能力，可考虑集成以下工具：

• Wazuh：开源 XDR/SIEM 平台，提供文件完整性监控、漏洞检测和合规性检查。
• Suricata：高性能网络 IDS/IPS，可实时分析网络流量。

结语

恭喜你！你已经成功搭建了一个基于 Linux 的 SIEM 系统。虽然这只是入门级别，但它为你打下了坚实的基础。随着经验积累，你可以逐步扩展其功能，实现更智能的告警、自动化响应甚至与 SOAR（安全编排、自动化与响应）系统集成。

记住，安全不是一次性的任务，而是一个持续的过程。定期审查日志、优化规则、更新系统，才能真正发挥 SIEM 的价值。