Innledning

Er du en Windows Admin som doesn ’ t vet mye om syslog? At ’ s ganske vanlig som Windows Servers bruke “ arrangementer og rdquo;, ikke IETF standard RFC3164 og RFC5424 syslog. Likevel kan Windows OS bruke syslog hvis du tar de riktige trinnene. Her ’ s hva du trenger å vite om syslog og hvordan du kan konfigurere Windows-servere til å sende syslog

Hva er Syslog

En industristandard standard systemloggen rapporteringssystem, syslog, er.? brukes av de fleste enheter og operativsystemer i datasenteret. Det inkluderer meldinger relatert til systemadministrasjon, sikkerhet, debugging, og OS eller programfeil. Ikke bare er syslog støttes av alle Linux og Unix-baserte operativsystemer, men det er også støttet av nettverksenheter (som rutere, svitsjer og brannmurer), lagringsenheter, og til og med enheter som skrivere. På grunn av sitt store adopsjon, er syslog en fin måte å konsolidere logging data fra hele datasenteret på ett sted både for bevaring og analyse. Analyse av syslog data er kritisk for sikkerhetsrevisjon, feilsøking og identifisere feilkonfigurasjoner. Men i mange tilfeller er det også nyttig for feilsøking lagringskonfigurasjoner, lagringssikkerhet, og selv lagringsytelse. Mange enheter i datasenteret (for eksempel Cisco-rutere og svitsjer) lagrer ikke historiske sysloggmeldinger, og dermed er det avgjørende å konsolidere dem. Hvis det syslog data går tapt når ruteren mister makt eller krasjer, kan det være vanskelig eller umulig å feilsøke problemet med enheten.

Med syslog, bruker hver enhet sende sysloggmeldinger en agent for å gjøre det. Disse meldingene fra agenter blir sendt til en sentral syslog server. Hver syslog melding sendes med en bestemt “ anlegget code ”, som brukes til å identifisere hvilken type programvare som genererte meldingen. Standard syslog melding er - auth, authPriv, daemon, cron, ftp, lpr, kern, mail, nyheter, syslog, bruker, UUCP, local0 - local7. Disse meldingene er tildelt en alvorlighetsgrad ved hjelp av én av følgende klassifikasjoner - Emergency, Alert, Kritisk, Feil, Advarsel, Innkalling, Info, eller Debug. I Linux, er sysloggmeldinger vanligvis lagret i /var /log og de fleste Linux-operativsystemene har et kommandolinjeverktøy for å sende data til loggfilen heter logger.

Syslog og Windows Server OS
< p> Så hva betyr alt dette har å gjøre Windows Server 2012, spør du? Med de fleste andre enheter i datasenteret sender syslog-meldinger til en sentralisert syslog server, hva med Windows? Problemet er at, i motsetning til Linux, doesn &rsquo Windows OS; t inkluderer syslog agent som er i stand til å sende syslog data til en syslog server. Uten en syslog agent, ikke bare kan ’ t Windows OS sende syslog-meldinger til en syslog server, men det også kan ’ t sende sysloggmeldinger fra alle programmer som kjører i Windows OS (som en web server eller database)
<. p> Jeg oppdaget dette mens testing av nye syslog konsolidering og analyseverktøy fra VMware – vCenter Logg Insight. Logg Insight er en syslog server som utfører ikke bare konsolidering, men også sanntids analyse av eventuelle logging av data som sendes til den. Det ’ s ideell for VMware vSphere virtuell infrastruktur som det kobles direkte til din vCenter server og ESXi verter. Det forstår statistikken at det samler fra vSphere infrastruktur og er et flott verktøy for å analysere systemlogger og identifisere feil før de påvirker sluttbrukere.

Syslog Agent alternativer for Windows 2012

Hvis du bruker din favoritt søkemotor og du gjør et søk etter “ vinduer syslog agenten ”, du ’ ll få antall syslog agenter å velge mellom (de fleste av dem er gratis). Her er noen av alternativene som jeg fant:

Snitt Alliance Syslog (enterprise og open source)

Datagram SyslogAgent

Balabit Software, syslog-ng

rsyslog agenten

NTsyslog agenten

Correlog Windows Syslog Agent

Vennligst merk: jeg hadde ikke teste noen av disse syslog midler med unntak av ett – Datagram SyslogAgent – (som tilfeldigvis var den første som jeg plukket ut og testet under). Dermed I ’ m ikke si at den jeg valgte var bedre eller verre enn de andre, det bare skjedde til å være den jeg brukte

Merk også at du burde ’. T forvirre syslog servere med syslog agenter. Syslog servere (eller syslog verter) samler syslog data og agenter sende dataene. For Windows Server, trenger du en agent, ikke en samler (eller server). For eksempel er Solarwinds syslog server (tidligere Kiwi syslog server) en syslog server, ikke en syslog agent. Hvis du skjønner ’ t har en syslog server allerede, så det er et godt alternativ for generell bruk eller vCenter Logg Insight er et godt alternativ hvis du allerede bruker VMware vSphere

Laste ned og installere Datagram Syslog Agent

For min testing, jeg valgte den frie Datagram SyslogAgent. Fra produktsiden, klikket jeg den ned og deretter valgt Datagram Syslog Agent 64-bit nedlasting (don ’ t velge Syslog Server øverst på siden). Merk at du kan enten gå til denne nettsiden direkte fra serveren der du vil installere syslog agent på, eller du kan laste det ned på den lokale datamaskinen og deretter transportere den Windows-serveren via nettverket eller USB-nøkkel.

Hvis du pakker den 2MB Syslog filen du lastet ned, er det noen filer, men de eneste tre viktige filer er i PDF-bruker ’ s manual, den SyslogAgent konfigurasjonsverktøy, og SyslogAgent at du må installere på serveren

Figur 1: SyslogAgent installasjonsfiler

I den forstand av en tradisjonell Windows-program installert, er det ikke en for SyslogAgent service. Du bare kjøre SyslogAgentConfig verktøyet og klikk Installer under Tjenestestatus delen øverst

Figur 2:.. Installere SyslogAgent Tjenesten

Dette vil skape Windows-tjenesten for SyslogAgent

Før du blir for opphisset og starte tjenesten, la ’ s første konfigurere den

Den minste konfigurasjonen vil være:

At tjenesten er å installere
<. li> En sysloggserver IP og port er konfigurert

At enten hendelses eller applikasjonslogger er valgt for å bli sendt til syslog verten (uansett type hendelser og /eller programmer du velger)

Og at syslog agenten tjenesten er startet.

For å velge hvor loggdata fra din Windows host vil bli sendt, skriver du inn IP-adressen til syslog vert, som du ser i grafisk, Figur 2 , over. I mitt tilfelle, Logg Insight Sysloggserverens ’ s IP-adresse var 10.0.1.120 og vi bruker UDP port 514.

Med denne aktivert, jeg sjekket hendelseslogger alternativet og valgt hvilken type hendelseslogger jeg ønsket . For systemovervåking, vil jeg anbefale å sende “ systemlogger ” men du er velkommen til å sende alle typer logger du ønsker som for eksempel sikkerhetslogger for revisjon formål

Figur 3:. Velge hendelsesloggene for å sende til syslog Host

Eventuelt kan du konfigurere Programloggen hendelser for å videresende og selv tilpasse sine anlegg og alvorlighetsgrad, som du ser i figur 4.

Figur 4: Tilpasse Facility og alvorlighetsgrad

Alternativt kan du velge å sende hendelser fra spesifikke Windows-programmer til syslog vert, selv spesifisere kjørbar for tilpasset program (som du ser nederst i figur 2)

Når du ’.. har fått det konfigurert, klikker du Start Tjenesten

Du er velkommen til å dobbeltsjekke dine Windows-tjenester for å se at SyslogAgent tilsettes og kjører som du ser nedenfor i figur 5.

Figur 5: SyslogAgent Kjører i Services

Med syslog agenten løping, la ’ s. gå sjekk vår syslog server for å se om den mottar meldinger fra vår Windows 2012 Server

Testing Syslog med VMware vCenter Logg Insight

La ’ s anta at din syslog server ble installert og kjører fint, på IP-adressen du har angitt på agent. I mitt tilfelle, jeg bruker den nye VMware vCenter Logg Insight som min syslog vert, men det finnes mange alternativer.

Over på vCenter Logg Insight konsoll, ja, jeg var raskt i stand til å identifisere syslog trafikk som kommer fra min Windows 2012 Server (med en DNS-navnet til HV1)

Figur 6:. Windows Server Syslog melding på vCenter Logg Insight

Grafikken viser at sysloggserveren er rapportering administrative og -avlogginger ( i det minste i den del av stokken) og ndash; noe som vil være svært verdifull for sikkerhet revisjonsformål. Husk at de syslog oppføringer fra Windows vant ’ t bare være sikkerhet info. De ’ ll inneholder viktig system og program arrangementer i tillegg
.