Syslog サーバーの概要と設定

Syslog メッセージの種類

MX セキュリティ アプライアンスは、「イベント ログ」「IDS アラート」「URL」「フロー」の 4 つのカテゴリ（役割）のメッセージ送信をサポートしています。MR アクセス ポイントも同様ですが、IDS アラートは送信できません。MS スイッチは現時点ではイベント ログ メッセージのみをサポートしています。

Syslog サーバーの設定

Syslog サーバーは Linux システムで短時間で簡単に構築できます。また、他の OS 用にも多くの Syslog サーバーが利用可能です（Windows 用の Kiwi Syslog など）。

以下は、Ubuntu 13.04 上で syslog-ng を使用し、MX セキュリティ アプライアンスからの Syslog 情報を収集するサーバー設定例のコマンドです。

注:以下のコマンドはデモ用の設定例です。実際の設定や詳細はサーバーのドキュメントを参照してください。

 

まず syslog アプリケーションをインストールします。

sysadmin@ubuntu:~$ sudo apt-get install syslog-ng

 

syslog-ng インストール後、MX からのログ メッセージを受信できるよう設定が必要です。本手順では、各役割 カテゴリごとに個別のログ ファイルに保存する設定例を示します（URL、イベント ログなどの個別ファイル）。すべてのログを 1 つのファイルにまとめて保存することも可能です。適切なエディタを用いて syslog-ng 設定ファイルを編集してください。ここでは nano を使用しています。

sysadmin@ubuntu:~$ sudo nano /etc/syslog-ng/syslog-ng.conf

 

本例では MX の LAN IP は 192.168.10.1、Syslog サーバーは 192.168.10.241 の UDP ポート 514 で待ち受けています。構築環境に応じて MX やサーバーの LAN IP を適宜修正してください。最初のコード セクションは、MX からのすべての Syslog メッセージを /var/log/meraki.log に保存する設定です。2 番目のコード セクションでは、正規表現で各役割 カテゴリを判別し、それぞれ個別のファイルに保存します。いずれか 1 つのオプションのみ設定してください。

オプション 1 - すべてのメッセージを /var/log/meraki.log に保存:

#define syslog source
source s_net { udp(ip(192.168.10.241) port(514)); };

#create filter to match traffic (this filter will catch all syslog messages that come from the MX)
filter f_meraki { host( "192.168.10.1" ); };

#define a destination for the syslog messages
destination df_meraki { file("/var/log/meraki.log"); };

#bundle the source, filter, and destination rules together with a logging rule
log { source ( s_net ); filter( f_meraki ); destination ( df_meraki ); };

オプション 2 - メッセージ種別ごとに個別ファイルに保存:

#define syslog source
source s_net { udp(ip(192.168.10.241) port(514)); };

#create individual filters to match each of the role categories
filter f_meraki_urls { host( "192.168.10.1" ) and match("urls" value ("MESSAGE")); };
filter f_meraki_events { host( "192.168.10.1" ) and match("events" value ("MESSAGE")); };
filter f_meraki_ids-alerts { host( "192.168.10.1" ) and match("ids_alerted" value ("MESSAGE")); };
filter f_meraki_flows { host( "192.168.10.1" ) and match("flows" value ("MESSAGE")); };

#define individual destinations for each of the role categories
destination df_meraki_urls { file("/var/log/meraki_urls.log"); };
destination df_meraki_events { file("/var/log/meraki_events.log"); };
destination df_meraki_ids-alerts { file("/var/log/meraki_ids-alerts.log"); };
destination df_meraki_flows { file("/var/log/meraki_flows.log"); };

#bundle the source, filter, and destination rules together with a logging rule for each role category
log { source ( s_net ); filter( f_meraki_urls ); destination ( df_meraki_urls ); };
log { source ( s_net ); filter( f_meraki_events ); destination ( df_meraki_events ); };
log { source ( s_net ); filter( f_meraki_ids-alerts ); destination ( df_meraki_ids-alerts ); };
log { source ( s_net ); filter( f_meraki_flows ); destination ( df_meraki_flows ); };

 

最後に syslog-ng プロセスを再起動します。

sysadmin@ubuntu:~$ sudo /etc/init.d/syslog-ng restart 

ダッシュボードの設定

Syslog サーバーは、ネットワーク全体 > 設定 > 一般 からダッシュボードで定義できます。

Syslog サーバーを追加 リンクをクリックし、新しいサーバーを定義します。IP アドレス、UDP ポート番号、サーバーに送信する役割を設定します。複数の Syslog サーバーを設定可能です。

MX セキュリティ アプライアンスで フロー 役割が有効な場合、セキュリティ & SD-WAN > 設定 > ファイアウォール ページの Syslog 列から、個別のファイアウォール ルールごとにロギングの有効化／無効化が行えます。

 

Syslog に関する追加考慮事項