Envoi de notifications système à un serveur syslog distant

L'option d'exportation syslog permet d'envoyer les alertes d'un système ExtraHop à tout système distant recevant des données syslog pour un archivage à long terme et une corrélation avec d'autres sources.

1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
2. Dans la section Paramètres réseau, cliquez sur Notifications.
3. Dans le champ Destination, saisissez l'adresse IP du serveur syslog distant.
4. Dans le menu déroulant Protocole, sélectionnez TCP ou UDP. Cette option spécifie le protocole par lequel les informations seront envoyées à votre serveur syslog distant.
5. Dans le champ Port, saisissez le numéro de port de votre serveur syslog distant. Par défaut, cette valeur est définie sur 514.
6. Cliquez sur Tester les paramètres pour vérifier que vos paramètres syslog sont corrects. Si les paramètres sont corrects, vous devriez voir une entrée dans le fichier journal syslog sur le serveur syslog similaire à ce qui suit :

   Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1

   Copier
7. Cliquez sur Enregistrer.
8. Facultatif : Modifier le format des messages syslog.
   Par défaut, les messages syslog ne sont pas conformes à la RFC 3164 ou à la RFC 5424. Toutefois, vous pouvez formater les messages syslog de manière à ce qu'ils soient conformes en modifiant la configuration en cours d'exécution.
   1. Cliquez sur Admin.
   2. Cliquez sur Running Config (Unsaved Changes).
   3. Cliquez sur Edit Config.
   4. Ajoutez une entrée sous syslog_notification où la clé est rfc_compliant_format et la valeur rfc5424 ou rfc3164.
      La section syslog_notification doit ressembler au code suivant :

          "syslog_notification": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }

      Copier
   5. Cliquez sur Mettre à jour.
   6. Cliquez sur Terminé.
9. Facultatif : Modifier le fuseau horaire référencé dans les horodatages syslog.
   Par défaut, les horodatages syslog font référence à l'heure UTC. Cependant, vous pouvez modifier les horodatages pour qu'ils fassent référence à l'heure du système ExtraHop en modifiant la configuration en cours d'exécution.
   1. Cliquez sur Admin.
   2. Cliquez sur Running Config (Unsaved Changes) (Configuration en cours d'exécution (modifications non enregistrées)).
   3. Cliquez sur Edit Config.
   4. Ajoutez une entrée sous syslog_notification où la clé est syslog_use_localtime et la valeur true.
      La section syslog_notification doit ressembler au code suivant :

          "syslog_notification": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "syslog_use_localtime": true
          }

      Copier
   5. Cliquez sur Mettre à jour.
   6. Cliquez sur Terminé.