Data Domain : configuration de syslog et secure-syslog

Configuration de syslog

Un système de protection exporte les sélecteurs facility.priority suivants pour les fichiers journaux.

Pour plus d’informations sur la gestion des sélecteurs et la réception de messages sur un système tiers, reportez-vous à la documentation du système de réception fournie par votre fournisseur.

• *.notice : envoie tous les messages dont la priorité de notification est supérieure ou égale.
• *.alert : envoie tous les messages dont la priorité d’alerte est supérieure ou égale (les alertes sont incluses dans *.notice).
• Kern.* - Envoie tous les messages du noyau (kern.info fichiers journaux).

la commande log host Les commandes gèrent le processus d’envoi des messages de log à un autre système.

Affichage de la configuration de transmission des fichiers journaux

Appuyez sur log host show Commande CLI permettant de savoir si la transmission des fichiers journaux est activée et quels hôtes reçoivent les fichiers journaux.

Escalier
Pour afficher la configuration, saisissez l’icône log host show .

Exemple

# log host show

La consignation à distance est activée.
Hôtes
de consignation à distance Log-server

Activation et désactivation de la transmission des messages de log

Vous devez utiliser les commandes CLI pour activer ou désactiver la transmission des messages de log.

Étapes

1. Pour activer l’envoi de messages de log à d’autres systèmes, utilisez la commande log host enable .
2. Pour désactiver l’envoi de messages de log à d’autres systèmes, utilisez la commande log host disable .

Ajout ou suppression d’un hôte récepteur

Vous devez utiliser les commandes CLI pour ajouter ou supprimer un hôte récepteur.

Étapes

1. Pour ajouter un système à la liste qui reçoit les messages de log du système de protection, utilisez la commande.
2. Pour supprimer un système de la liste qui reçoit les messages des journaux système, utilisez la commande : # log host del.

Exemple
La commande suivante ajoute le système nommé log-server aux hôtes qui reçoivent les messages de log.

# log host add log-server

La commande suivante supprime le système nommé log-server des hôtes qui reçoivent les messages de log.

# log host del log-server

La commande suivante désactive l’envoi de logs et efface la liste des noms d’hôte de destination.

# log host reset

Configuration de secure-syslog pour le transfert chiffré des journaux

DDOS offre la possibilité de chiffrer le transfert des journaux vers un hôte distant. Utilisez la CLI pour configurer cette fonctionnalité.

Pourquoi et quand exécuter cette tâche
Secure-syslog prend en charge le mode anonyme, qui utilise uniquement l’authentification par certificat côté serveur. Cela nécessite d’importer :

Exemples d’étapes

Étapes suivantes

The syslog server requires a CA certificate, host certificate, and host key. The following example shows a sample server-side

configuration for secure-syslog:

global(

DefaultNetstreamDriver="gtls"

DefaultNetstreamDriverCAFile="/etc/rsyslog.d/cert/cacert.pem"

DefaultNetstreamDriverCertFile="/etc/rsyslog.d/cert/ser_cert.pem"

DefaultNetstreamDriverKeyFile="/etc/rsyslog.d/cert/serkey.pem"

)

$ModLoad imtcp # TCP listener

$InputTCPServerStreamDriverMode 1 # run driver in TLS-only mode

$InputTCPServerStreamDriverAuthMode anon

$InputTCPServerRun 10514 # start up listener at port 10514

• Certificat CA du serveur syslog sur le système DD
• Certificat d’hôte et clé d’hôte sur le système
  de serveur syslog Le port de serveur syslog sécurisé par défaut est 10514. DDOS prend en charge plusieurs serveurs syslog. Lorsque plusieurs serveurs syslog sont configurés, ils utilisent le même port de serveur syslog sécurisé configuré sur le système DD.
• Échec de la connexion au serveur secure-syslog
• Le certificat CA du serveur secure-syslog semble non valide
  Procédez comme suit pour configurer secure-syslog.

  1. Exécutez la commande log secure-syslog host add <host> Commande permettant d’ajouter l’hôte secure-syslog au système.

     # log secure-syslog host add 10.198.177.6

     La consignation sécurisée de l’hôte distant n’est pas activée. Activez à l’aide de « log secure-syslog host enable ».

     Ajout de l’hôte « 10.198.177.6 ».
     
     •L’hôte doit correspondre au CN généré lors de la création du certificat d’hôte.
     
     •Assurez-vous également que DD peut résoudre ce nom.

  2. Exécutez la commande adminaccess certificate import ca application secure-syslog pour importer le certificat de l’autorité de certification du serveur secure-syslog.

     # adminaccess certificate import ca application secure-syslog

     Saisissez le certificat, puis appuyez sur Ctrl-D, ou appuyez surControl-C pour annuler.

     MIIDgTCCAmmgAwIBAgIJAIsFi6huU/QSMA0GCSqGSIb3DQEBCwUAMFcxCzAJBgNV BAYTAlVTMQswCQYDVQQIDAJZWTELMAkGA1UEBwwCSlMxHDAaBgNVBAoME0RlZmF1 bHQgQ29tcGFueSBMdGQxEDAOBgNVBAMMBzEuMi4zLjQwHhcNMjMwMzI4MDc0MzAz WhcNMjYwMzI3MDc0MzAzWjBXMQswCQYDVQQGEwJVUzELMAkGA1UECAwCWVkxCzAJ BgNVBAcMAkpTMRwwGgYDVQQKDBNEZWZhdWx0IENvbXBhbnkgTHRkMRAwDgYDVQQD DAcxLjIuMy40MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEArQIWAlhv KqSY/iaXS5O6vxJ9HHSgts7OWI/uhjO9yA/may2yHBvjxmLheg1ixseOjpKxvLfY Of9ufLGKWpbVIJGoXkG6x+zde1hwbctK4EhN0XTJ/xoUVVu/F2DqeeM1B6bt+26Q GR2xx3kJuFMBxtDvcrql/yXPH2BNPHyJJ6CIa1hwbx5iwxJJNUkLe/pjKBhRNyS0 T4trEwGgsNOVSyYGCkAo3BWPyijBagatPQFs36SrOVc3AcFu3ie9q67NEJDxOwfk
     
     	iFHvT8zYVRkDNYYmN7wt76TGK4G8HuldyZ19z+0fa6m6pMKbuOht19PtiP3MBXWh e+jZYuzrmPVRHwIDAQABo1AwTjAdBgNVHQ4EFgQUXLSU4KHIiNlnXAKJdCexeA9X ROwwHwYDVR0jBBgwFoAUXLSU4KHIiNlnXAKJdCexeA9XROwwDAYDVR0TBAUwAwEB /zANBgkqhkiG9w0BAQsFAAOCAQEAUt0kgFbSfegkskrVDv4DwKKWlIkxgBJEVsvH y+T16KszhedvUOUIM2quv6J1E1BqmrUlQSYb8RbJqOO6vWpruxVd4RYBSRIJzQT0 p3fGV3M90oi/bhmSt7v/Q7DpzzJgxDVSuKNXMf4WgPY212pubmUMfJFkDkK0t/pG 5OnLL9ChsAvZSX5mHDr7wbojO+GJJNAeLvLSBVtnNyB1e1xj0dpheIYyVP329sPN C79uP+HdXma0ujOQgqpnpwAYY0faB6tcb/mkn/SyL30Fx01HaXRwdF6CivoakOgw Hkrf88XDMPXBK4kstEqGoO0RRFPL0tAQN4hu+hQpRmr03nzhyQ==

     L’empreinte SHA1 du certificat d’autorité de certification importé est la suivante :

     AD:61:28:84:71:EB:5B:7F:E7:9A:EC:3B:16:25:9B:99:28:9E:33:58

     Voulez-vous importer ce certificat ? (oui|non) [yes] : yes Certificat CA importé pour les applications : « secure-syslog ».

  3. Exécutez la commande adminaccess certificate show imported-ca application secure-syslog pour vérifier que le certificat a été importé.

     # adminaccess certificate show imported-ca application secure-syslog
     
     	Subject Type Application Valid From Valid Until
     
     	 Fingerprint
     
     	------- ----------- ------------- ------------------------
     
     	------------------------ -----------------------------------------------------------
     
     	1.2.3.4 imported-ca secure-syslog Tue Mar 28 00:43:03 2023 Fri Mar 27 00:43:03
     
     	2026 AD:61:28:84:71:EB:5B:7F:E7:9A:EC:3B:16:25:9B:99:28:9E:33:58
     
     	------- ----------- ------------- ------------------------
     
     	------------------------ -----------------------------------------------------------
     
     	Certificate signing request (CSR) exists at /ddvar/certificates/
     
     	CertificateSigningRequest.csr

  4. Exécutez la commande log secure-syslog host enable Commande permettant d’activer le transfert des journaux secure-syslog.

     # log secure-syslog host enable

     La journalisation de l’hôte distant secure-syslog est activée.

  5. Exécutez la commande log secure-syslog host show La commande permettant de vérifier que le transfert des journaux secure-syslog est activé.

     # log secure-syslog host show

     La consignation à distance secure-syslog est activée.

     Hôtes
     de consignation à distance 10.198.177.6

  6. Exécutez la commande log secure-syslog server-port show Commande permettant de vérifier le port pour le transfert des journaux secure-syslog.

     # log secure-syslog server-port show

     Port serveur 10514

  7. Si nécessaire, exécutez la commande log secure-syslog server-port set port-number pour modifier le numéro de port.

Autres commandes

syslog log host add <host> Ajouter un hôte
de journalisation à distance log host del host> Supprimer <un hôte
de journalisation distant log host disable Désactiver la consignation sur des hôtes distants
log host enable Enable consignation sur des hôtes distants
  log host reset Réinitialiser (par défaut) tous les hôtes
de journalisation à distance log host show Show remote logging hosts
log server-port reset Réinitialise le numéro
de port syslog log server-port set <port-number> Définit le numéro
de port syslog log log server-port show Show syslog service port show

# log secure-syslog server-port set port-number