Audit-Log-Daten an einen Remote-Syslog-Server senden

Das Audit-Log sammelt Daten über den Betrieb des ExtraHop-Systems, aufgeschlüsselt nach Komponenten. Das im System gespeicherte Protokoll hat eine Kapazität von 10.000 Einträgen, und Einträge, die älter als 90 Tage sind, werden automatisch entfernt. Sie können diese Einträge in den Administrationseinstellungen anzeigen oder die Audit-Log-Ereignisse zur Langzeitspeicherung, Überwachung und erweiterten Analyse an einen Syslog-Server senden. Alle protokollierten Ereignisse sind in der folgenden Tabelle aufgeführt.

1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
2. Klicken Sie im Abschnitt Status und Diagnose auf Prüfprotokoll.
3. Klicken Syslog-Einstellungen konfigurieren.
4. Geben Sie im Feld Ziel die IP-Adresse des Remote-Syslog-Servers ein.
5. Wählen Sie im Dropdownmenü Protokoll TCP oder UDP. Diese Option gibt das Protokoll an, über das die Informationen an Ihren Remote-Syslog-Server gesendet werden.
6. Geben Sie im Feld Port die Portnummer für Ihren Remote-Syslog-Server ein. Standardmäßig ist dieser Wert auf 514 festgelegt.
7. Klicken Einstellungen testen um zu überprüfen, ob Ihre Syslog-Einstellungen korrekt sind. Wenn die Einstellungen korrekt sind, sollten Sie in der Syslog-Log-Datei auf dem Syslog-Server einen Eintrag sehen, der dem folgenden ähnelt:

   Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1

   Kopieren
8. Klicken Speichern.
9. Optional: Ändern Sie das Format von Syslog-Meldungen.
   Standardmäßig entsprechen Syslog-Meldungen nicht RFC 3164 oder RFC 5424. Sie können Syslog-Meldungen jedoch so formatieren, dass sie konform sind, indem Sie die laufende Konfiguration ändern.
   1. Klicken Admin.
   2. Klicken Config ausführen (ungespeicherte Änderungen).
   3. Klicken Konfiguration bearbeiten.
   4. Füge einen Eintrag hinzu unter auditlog_rsyslog wo der Schlüssel ist rfc_compliant_format und der Wert ist entweder rfc5424 oder rfc3164.
      Das auditlog_rsyslog Der Abschnitt sollte dem folgenden Code ähneln:

          "auditlog_rsyslog": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }

      Kopieren
   5. Klicken Aktualisieren.
   6. Klicken Erledigt.
10. Optional: Ändern Sie die Zeitzone, auf die in den Syslog-Zeitstempeln verwiesen wird.
    Standardmäßig verweisen Syslog-Zeitstempel auf die UTC-Zeit. Sie können Zeitstempel jedoch so ändern, dass sie auf die ExtraHop-Systemzeit verweisen, indem Sie die laufende Konfiguration ändern.
    1. Klicken Admin.
    2. Klicken Config ausführen (ungespeicherte Änderungen).
    3. Klicken Konfiguration bearbeiten.
    4. Füge einen Eintrag hinzu unter auditlog_rsyslog wo der Schlüssel ist syslog_use_localtime und der Wert ist true.
       Das auditlog_rsyslog Der Abschnitt sollte dem folgenden Code ähneln:

           "auditlog_rsyslog": {
               "syslog_destination": "192.168.0.0",
               "syslog_ipproto": "udp",
               "syslog_port": 514,
               "syslog_use_localtime": true
           }

       Kopieren
    5. Klicken Aktualisieren.
    6. Klicken Erledigt.