rsyslogにて、リモートサーバーとローカルサーバーに出力される特定のログメッセージを別のログに出力させたい

Question

解決したいこと

タイトルの通りですが、

1. リモートサーバーAに存在している/var/log/secureに、ログメッセージに「su: pam_unix(su-l:session)」が含まれていたら、ローカルサーバーBの/var/log/remote_secureに転送
2. ローカルサーバーBの/var/log/messagesに、ログメッセージに「XMT: Solicit on 」が含まれていたら、ローカルサーバーBの/var/log/remote_secureに転送

といったことを実施したいです。

環境詳細

• OS・・・AmazonLinux2017.03

自分でやったこと

1. ローカルサーバーBの/etc/rsyslog.confに下記情報追加

～
# リモートサーバーAの/var/log/messageをローカルに転送する設定
$ModLoad imtcp
$InputTCPServerRun 514
$Allowedsource TCP, リモートサーバーAのIPアドレス
authpriv.*                       /var/log/remote_secure
～
# ローカルサーバーBの/var/log/messageに出力されるであろう「XMT: Solicit on」を/var/log/romote_secureに出力させる設定
if $msg contains 'XMT: Solicit on ' then /var/log/remote_secure
～

情報が不足していましたらコメントにてご指摘お願いいたします。

Answer 1

リモートサーバーAに存在している/var/log/secureに、ログメッセージに「su: pam_unix(su-l:session)」が含まれていたら、ローカルサーバーBの/var/log/remote_secureに転送

こちら、サーバAのrsyslogで、フィルタとログ転送を行う必要があります。
そのうえでサーバBのrsyslogでフィルタすれば期待した動作になると思います。

ローカルサーバーBの/var/log/messagesに、ログメッセージに「XMT: Solicit on 」が含まれていたら、ローカルサーバーBの/var/log/remote_secureに転送

こちらはローカル配送なので以下の設定で実現できていそうですが、できていないということですか?

if $msg contains 'XMT: Solicit on ' then /var/log/remote_secure

Comments

[sabx]

>こちら、サーバAのrsyslogで、フィルタとログ転送を行う必要があります。
>そのうえでサーバBのrsyslogでフィルタすれば期待した動作になると思います。
→なるほど！先にフィルタリングしてからローカルサ―バーBに転送すればいいのですね！ありがとうございます。

>こちらはローカル配送なので以下の設定で実現できていそうですが、できていないということですか?
→すいませんこちら当方の確認ミスでした…無事設定できていることが確認できました。。。

大変申し訳ございませんが、追加でもう一つお聞きしてもよろしいでしょうか…？
・リモートサーバーAのログ/var/log/remote_secureに「su: pam_unix(su-l:session)」が書き込まれた、かつ
・ローカルサーバーBのログ/var/log/messagesに「XMT: Solicit on」た場合に、ローカルサーバーの/var/log/remote_secureに二つのログメッセージを出力さするといったことはできますでしょうか…？

1.リモートサ―バーAにてフィルタし、ローカルサーバーBに転送
2.リモートサーバーAから転送されてきたら、ローカルサーバーBにて/var/log/messagesをフィルタして
3.転送ログメッセージとローカルにてフィルタしたログメッセージを/var/log/remote_secureに書き込む

といったことをしたいと思っています。。。

[over]

何か勘違いされているようなので、1点ツッコミを。
rsyslogのフィルタはファイルに出力される前のファシリティにメモリされたログをフィルタし、各ログに記載するものです。

>・リモートサーバーAのログ/var/log/remote_secureに「su: pam_unix(su-l:session)」が書き込まれ> た、かつ
> ・ローカルサーバーBのログ/var/log/messagesに「XMT: Solicit on」た場合に、ローカルサーバー
> の/var/log/remote_secureに二つのログメッセージを出力さするといったことはできますでしょう
> か…？

両方とも、ローカルサーバBのログに書き込みしたいということでしょうか?
フィルタ増やせばよいと思いますが。

または'or'で繋ぐとか?
以下のページ参考になるのではないでしょうか。
http://www.usupi.org/sysad/208.html