Syslog centralizado/remoto
¿ Como montamos un equipo linux que reciba logs de
otros equipos, tanto unix como windows ?
En Unix existe un servicio llamado Syslog que por defecto recoge los eventos del sistema que nosotros
le digamos. Por defecto solo guarda mensajes locales, pero syslog es capaz de escuchar en el puerto UDP 514
para recibir logs externos.
Para que el syslog acepte conexiones remotas, debemos pasarle estas opciones de ejecucion:
Código:
SYSLOGD_OPTIONS="-r -x -m0"
Donde la opcion r es para que "escuche" y la -x
para que NO HAGA RESOLUCION INVERSA.
Para que un unix le mande logs a otro,
debemos configurarlo con las siguientes opciones dentro de
/etc/syslog.conf:
Código:
# Log to external server
*.info;mail.none;authpriv.none;cron.none
@syslogger.mydomain.com
Para poder mandar los logs de un
NT a un unix, debemos usar un cliente de syslog o un servicio especifico. Existen de
pago y de gratis. Aqui se esta probando ya el ntsyslog. SE puede instalar como un
servicio mas, aunque precisa meter unos cambios en el registro de windowl. Son
estos:
(metemos esto en un fichero con extension .reg y se añade automaticamente
haciendole doble
click)
REGEDIT4
[HKEY_LOCAL_MACHINESOFTWARESaberNet]
"Syslog"="192.168.1.133"
[HKEY_LOCAL_MACHINESOFTWARESaberNet]
"Syslog1"="192.168.1.175"
[HKEY_LOCAL_MACHINESOFTWARESaberNetSyslogSystem]
"Information"=dword:00000001
"Information
Priority"=dword:00000009
"Warning"=dword:00000001
"Warning
Priority"=dword:00000009
"Error"=dword:00000001
"Error
Priority"=dword:00000009
"Audit
Success"=dword:00000001
"Audit Success
Priority"=dword:00000009
"Audit
Failure"=dword:00000001
"Audit Failure
Priority"=dword:00000009
[HKEY_LOCAL_MACHINESOFTWARESaberNetSyslogSecurity]
"Information"=dword:00000001
"Information
Priority"=dword:00000009
"Warning"=dword:00000001
"Warning
Priority"=dword:00000009
"Error"=dword:00000001
"Error
Priority"=dword:00000009
"Audit
Success"=dword:00000001
"Audit Success
Priority"=dword:00000009
"Audit
Failure"=dword:00000001
"Audit Failure
Priority"=dword:00000009
[HKEY_LOCAL_MACHINESOFTWARESaberNetSyslogApplication]
"Information"=dword:00000001
"Information
Priority"=dword:00000009
"Warning"=dword:00000001
"Warning
Priority"=dword:00000009
"Error"=dword:00000001
"Error
Priority"=dword:00000009
"Audit
Success"=dword:00000001
"Audit Success
Priority"=dword:00000009
"Audit
Failure"=dword:00000001
"Audit Failure
Priority"=dword:00000009
Obviamente, siempre
convendra limitar el acceso al puerto de syslog con el firewall.