Audit-Log-Daten an einen Remote-Syslog-Server senden

Das Audit-Log sammelt Daten über den Betrieb des ExtraHop-Systems, aufgeschlüsselt nach Komponenten. Das auf dem System gespeicherte Protokoll hat eine Kapazität von 10.000 Einträgen, und Einträge, die älter als 90 Tage sind, werden automatisch entfernt. Sie können diese Einträge in den Verwaltungseinstellungen einsehen oder die Audit-Log-Ereignisse zur Langzeitspeicherung, Überwachung und erweiterten Analyse an einen Syslog-Server senden. Alle protokollierten Ereignisse sind in der folgenden Tabelle aufgeführt.

1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
2. In der Status und Diagnose Abschnitt, klicken Sie Audit-Protokoll.
3. Klicken Sie Syslog-Einstellungen konfigurieren.
4. In der Reiseziel Feld, geben Sie die IP-Adresse des Remote-Syslog-Servers ein.
5. Aus dem Protokoll Dropdownliste, wählen TCP oder UDP.
   Diese Option gibt das Protokoll an, über das die Informationen an Ihren Remote-Syslog-Server gesendet werden.
6. In der Hafen In diesem Feld geben Sie die Portnummer für Ihren Remote-Syslog-Server ein.
   Der Standardwert ist 514.
7. Klicken Sie Einstellungen testen um zu überprüfen, ob Ihre Syslog-Einstellungen korrekt sind.
   Wenn die Einstellungen korrekt sind, sollte in der Syslog-Datei auf dem Syslog-Server ein Eintrag ähnlich dem folgenden angezeigt werden:

   Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1

   Kopieren
8. Klicken Sie Speichern.
9. Optional: Ändern Sie das Format der Syslog-Meldungen:
   Standardmäßig sind Syslog-Meldungen nicht mit RFC 3164 oder RFC 5424 kompatibel. Sie können Syslog-Meldungen jedoch so formatieren, dass sie konform sind, indem Sie die laufende Konfiguration ändern.
   1. Klicken Sie Admin.
   2. Klicken Sie Config ausführen (ungespeicherte Änderungen).
   3. Klicken Sie Konfiguration bearbeiten.
   4. Fügen Sie einen Eintrag hinzu unter auditlog_rsyslog wo der Schlüssel ist rfc_compliant_format und der Wert ist entweder rfc5424 oder rfc3164.
      Das auditlog_rsyslog Der Abschnitt sollte dem folgenden Code ähneln:

          "auditlog_rsyslog": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }

      Kopieren
   5. Klicken Sie Aktualisieren.
   6. Klicken Sie Erledigt.
10. Optional: Ändern Sie die Zeitzone, auf die in den Syslog-Zeitstempeln verwiesen wird:
    Standardmäßig verweisen Syslog-Zeitstempel auf die UTC-Zeit. Sie können Zeitstempel jedoch so ändern, dass sie auf die ExtraHop-Systemzeit verweisen, indem Sie die laufende Konfiguration ändern.
    1. Klicken Sie Admin.
    2. Klicken Sie Config ausführen (ungespeicherte Änderungen).
    3. Klicken Sie Konfiguration bearbeiten.
    4. Fügen Sie einen Eintrag hinzu unter auditlog_rsyslog, wo der Schlüssel ist syslog_use_localtime und der Wert ist true.
       Das auditlog_rsyslog Der Abschnitt sollte dem folgenden Code ähneln:

           "auditlog_rsyslog": {
               "syslog_destination": "192.168.0.0",
               "syslog_ipproto": "udp",
               "syslog_port": 514,
               "syslog_use_localtime": true
           }

       Kopieren
    5. Klicken Sie Aktualisieren.
    6. Klicken Sie Erledigt.