Для сбора событий стандарта syslog от сетевых устройств необходимо настроить параметры syslog-сервера, роль которого выполняет UserGate LogAn.
Чтобы настроить параметры syslog-сервера:
1. В разделе Настройки ➜ Сборщик логов ➜ Syslog нажмите Настроить сервер.
2. В блоке параметров TCP выполните следующие действия:
включите прием событий syslog по протоколу TCP;
укажите порт подключения к syslog-серверу (по умолчанию — 514);
укажите максимальное количество одновременных сессий между syslog-сервером и сетевыми устройствами, от которых этот сервер получает данные.
Если требуется, включите TLS-шифрование передаваемых данных. Для этого установите флажок Безопасное соединение и выберите необходимые сертификаты. При необходимости в блоке параметров Разрешенные соседи вы можете указать IP-адреса и доменные имена сетевых устройств, данные о событиях которых будет разрешено передавать на syslog-сервер.
3. В блоке параметров UDP выполните следующие действия:
включите прием событий syslog по протоколу UDP;
укажите порт подключения к syslog-серверу (по умолчанию — 514).
4. Нажмите Сохранить и перезапустить для применения новых параметров к syslog-серверу.
UserGate Log Analyzer (UserGate LogAn) выполняет роль syslog-сервера, журналируя данные о событиях Unix-систем и других сетевых устройств, поддерживающих стандарт syslog. Эти данные включают сведения о работе и состоянии систем, ошибках, сбоях, а также о событиях безопасности.
В веб-консоли устройства вы можете настроить параметры syslog-сервера: выбрать транспортный протокол (TCP или UDP) и порт подключения, а также включить TLS-шифрование для TCP.
Кроме того, для фильтрации данных, поступающих на сервер UserGate LogAn, вы можете настраивать правила syslog. Эти правила позволяют отбирать события по заданным критериям (например, по уровню важности).
В ходе обработки данных UserGate LogAn записывает их в единое хранилище. Вы можете просматривать все записи о событиях стандарта syslog в веб-консоли устройства в разделе Журналы и отчеты ➜ Журналы ➜ Syslog (см. раздел «Журнал syslog»).
Вы можете настроить правила syslog для фильтрации данных. Эти правила отображаются в таблице раздела Настройки ➜ Сборщик логов ➜ Syslog.
Вы можете управлять правилами syslog: изменять, удалять, а также включать и отключать их. Для этого используются соответствующие кнопки в панели инструментов. Также вы можете фильтровать правила в таблице по состоянию. Так, например, можно просмотреть только правила во включенном состоянии, применив фильтр Показать включенные.
Порядок расположения правил syslog в таблице соответствует порядку их применения к записям журналов событий по стандарту syslog. При необходимости вы можете изменять порядок с помощью кнопок Наверх, Выше, Ниже, Вниз.
Чтобы настроить правило syslog:
1. В разделе Настройки ➜ Сборщик логов ➜ Syslog нажмите Добавить.
2. На вкладке Общие выполните следующие действия:
Включите правило syslog.
Укажите название и при необходимости описание правила syslog.
Выберите действие по срабатыванию правила syslog (Разрешить — отправлять запись в UserGate LogAn, Запретить — не отправлять запись в UserGate LogAn).
Укажите часовой пояс правила syslog относительно UTC в секундах (по умолчанию — UTC+0). Указанный часовой пояс будет использоваться для отображения времени событий в UserGate LogAn.
Выберите расположение правила в таблице правил syslog.
3. На соответствующих вкладках укажите необходимые параметры фильтрации записей:
На вкладке Критичность по кнопке Добавить выберите уровни важности событий, записи о которых следует отправлять в UserGate LogAn. При установке флажка Инвертировать (соответствует логическому отрицанию) выбранные уровни важности будут исключены из условий срабатывания правила syslog.
На вкладке Объект по кнопке Добавить выберите подсистемы, службы и сервисы, записи которых следует отправлять в UserGate LogAn. При установке флажка Инвертировать (соответствует логическому отрицанию) выбранные объекты будут исключены из условий срабатывания правила syslog.
На вкладке Имя хоста по кнопке Добавить укажите IP-адреса и доменные имена сетевых устройств, записи которых следует отправлять в UserGate LogAn.
На вкладке Название приложения укажите системные приложения, записи которых следует отправлять в UserGate LogAn. Вы можете выбрать эти приложения по кнопке Добавить из библиотеки приложений syslog или добавить новые приложения по кнопке Создать и добавить новый объект.
4. Нажмите Сохранить.