Syslog и события CEF

Таблица. Параметры профиля syslog

ПараметрЗначенияНазначение и особенности

syslog_server

IP или FQDN; обязательно

Адрес коллектора.

syslog_port

Целое; 514

Порт приёмника.

syslog_tcp

true / false; false

TCP вместо UDP. По UDP сообщение длиннее 1472 байт усекается.

enable_ssl

true / false; false

TLS действует только при syslog_tcp: true.

keep_connection

false общее; true в поставляемых профилях

Удержание TCP-соединения.

octet_counting

true / false; false

Фрейминг RFC 6587 с длиной сообщения; только TCP. Должен поддерживаться получателем.

tcp_timeout

10; не влияет на syslog

После неуспеха соединение закрывается, следующее устанавливается заново; установка ограничена 3 секундами.

script_name

ethersensor_lua_cef.lua

Стандартное форматирование CEF для событий конвейера; скрипт расположен в scripts/tr-syslog/.

{
  "name": "siem_syslog_cef",
  "enabled": true,
  "default": false,
  "protocol": "syslog",
  "comment": "События анализа в SIEM",
  "syslog_server": "192.0.2.100",
  "syslog_port": 514,
  "syslog_tcp": true,
  "enable_ssl": false,
  "keep_connection": true,
  "octet_counting": false,
  "script_name": "ethersensor_lua_cef.lua"
}

Пример предназначен для согласованного TCP-приёмника CEF без TLS. Для защищённого канала согласуйте TLS и сертификаты на обеих сторонах. Добавьте профиль в profiles, примените transfer.json и назначьте профиль правилом L3 из раздела об анализаторе. Отдельно проверьте, что получатель правильно выделяет сообщения из TCP-потока.

python3 -m json.tool /opt/alertixnta/config/transfer.json \
  > /dev/null
sudo systemctl reload sensor-transfer.service
sudo systemctl reload sensor-analyser.service
sudo tail -n 100 /opt/alertixnta/log/transfer.log

Если нужны готовые CEF-сообщения конкретного протокола, профиль может читать log:cef-dns, log:cef-http, log:cef-ssl и другие протокольные каналы. Имя файла журнала не всегда равно каналу: cef-email.log объединяет smtp, pop3 и imap4, а cef-vpn.log — несколько VPN-протоколов. Каналов log:cef-email и log:cef-vpn нет.