Envoyer les données du journal d'audit à un serveur Syslog distant

Le journal dqu`audit collecte des données sur le fonctionnement du système ExtraHop, ventilées par composant. Le journal stocké sur le système a une capacité de 10 000 entrées, et les entrées datant de plus de 90 jours sont automatiquement supprimées. Vous pouvez consulter ces entrées dans les paramètres d'administration, ou vous pouvez envoyer les événements du journal d'audit à un serveur Syslog à des fins de stockage à long terme, de surveillance et d'analyse avancée. Tous les événements enregistrés sont répertoriés dans le tableau ci-dessous.

1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
2. Dans le État et diagnostics section, cliquez sur Journal d'audit.
3. Cliquez Configuration des paramètres Syslog.
4. Dans le Destination dans le champ, saisissez l'adresse IP du serveur Syslog distant.
5. À partir du Protocole dans la liste déroulante, sélectionnez l'une des options suivantes :
   • TCP
   • TLS
   • UDP
   Cette option spécifie le protocole par lequel les informations sont envoyées à votre serveur Syslog distant.

   Remarque :

   Si vous sélectionnez TLS, le système ExtraHop doit vérifier l'identité du serveur Syslog en validant le certificat TLS du serveur. Tu peux configurer le système ExtraHop pour qu'il fasse confiance à l'autorité de certification (CA) qui a signé le certificat du serveur Syslog dans les paramètres d'administration.

6. Dans le Port dans le champ, saisissez le numéro de port de votre serveur Syslog distant.
   La valeur par défaut est 514.
7. Cliquez Paramètres du test pour vérifier que vos paramètres Syslog sont corrects.
   Si les paramètres sont corrects, une entrée similaire à la suivante devrait apparaître dans le fichier journal Syslog du serveur Syslog :

   Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1

   Copier
8. Cliquez Enregistrer.
9. Facultatif : Modifiez le format des messages Syslog :
   Par défaut, les messages Syslog ne sont pas conformes à la RFC 3164 ou à la RFC 5424. Cependant, vous pouvez formater les messages Syslog pour qu'ils soient conformes en modifiant la configuration en cours .
   1. Cliquez Administrateur.
   2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
   3. Cliquez Modifier la configuration.
   4. Ajoutez une entrée sous auditlog_rsyslog où se trouve la clé rfc_compliant_format et la valeur est soit rfc5424 ou rfc3164.
      Le auditlog_rsyslog la section doit ressembler au code suivant :

          "auditlog_rsyslog": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }

      Copier
   5. Cliquez Mettre à jour.
   6. Cliquez Terminé.
10. Facultatif : Modifiez le fuseau horaire référencé dans les horodatages Syslog :
    Par défaut, les horodatages Syslog font référence à l'heure UTC. Cependant, vous pouvez modifier les horodatages pour faire référence à l'heure du système ExtraHop en modifiant la configuration en cours.
    1. Cliquez Administrateur.
    2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
    3. Cliquez Modifier la configuration.
    4. Ajoutez une entrée sous auditlog_rsyslog, où la clé est syslog_use_localtime et la valeur est true.
       Le auditlog_rsyslog la section doit ressembler au code suivant :

           "auditlog_rsyslog": {
               "syslog_destination": "192.168.0.0",
               "syslog_ipproto": "udp",
               "syslog_port": 514,
               "syslog_use_localtime": true
           }

       Copier
    5. Cliquez Mettre à jour.
    6. Cliquez Terminé.