Envoyer les données du journal daudit à un serveur Syslog distant

Le journal daudit collecte des données sur le fonctionnement du système ExtraHop, ventilées par composant. Le journal stocké dans le système a une capacité de 10 000 entrées, et les entrées datant de plus de 90 jours sont automatiquement supprimées. Vous pouvez consulter ces entrées dans les paramètres d'administration ou envoyer les événements du journal daudit à un serveur Syslog à des fins de stockage à long terme, de surveillance et d'analyse avancée. Tous les événements enregistrés sont répertoriés dans le tableau ci-dessous.

1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
2. Dans la section État et diagnostics, cliquez sur Journal d'audit.
3. Cliquez Configurer les paramètres Syslog.
4. Dans le champ Destination, saisissez l'adresse IP du serveur Syslog distant.
5. Dans le menu déroulant Protocole, sélectionnez TCP ou UDP. Cette option spécifie le protocole par lequel les informations sont envoyées à votre serveur Syslog distant.
6. Dans le champ Port, saisissez le numéro de port de votre serveur Syslog distant. Par défaut, cette valeur est définie sur 514.
7. Cliquez Réglages de test pour vérifier que vos paramètres Syslog sont corrects. Si les paramètres sont corrects, vous devriez voir apparaître une entrée dans le fichier journal syslog sur le serveur syslog similaire à la suivante :

   Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1

   Copier
8. Cliquez Sauver.
9. Facultatif : Modifiez le format des messages Syslog.
   Par défaut, les messages Syslog ne sont pas conformes à la RFC 3164 ou à la RFC 5424. Cependant, vous pouvez formater les messages Syslog pour qu'ils soient conformes en modifiant la configuration en cours .
   1. Cliquez Administrateur.
   2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
   3. Cliquez Modifier la configuration.
   4. Ajouter une entrée sous auditlog_rsyslog où se trouve la clé rfc_compliant_format et la valeur est soit rfc5424 ou rfc3164.
      Le auditlog_rsyslog la section doit ressembler au code suivant :

          "auditlog_rsyslog": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }

      Copier
   5. Cliquez Mise à jour.
   6. Cliquez Terminé.
10. Facultatif : Modifiez le fuseau horaire référencé dans les horodatages Syslog.
    Par défaut, les horodatages Syslog font référence à l'heure UTC. Cependant, vous pouvez modifier les horodatages pour faire référence à l'heure du système ExtraHop en modifiant la configuration en cours d'exécution.
    1. Cliquez Administrateur.
    2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
    3. Cliquez Modifier la configuration.
    4. Ajouter une entrée sous auditlog_rsyslog où se trouve la clé syslog_use_localtime et la valeur est true.
       Le auditlog_rsyslog la section doit ressembler au code suivant :

           "auditlog_rsyslog": {
               "syslog_destination": "192.168.0.0",
               "syslog_ipproto": "udp",
               "syslog_port": 514,
               "syslog_use_localtime": true
           }

       Copier
    5. Cliquez Mise à jour.
    6. Cliquez Terminé.