Sběr syslogu: logy ze síťových zařízení a jejich vyhodnocení

Routery, switche, firewally a přístupové body o sobě průběžně zapisují, co se děje: kdo se přihlásil, které spojení firewall zahodil, které rozhraní spadlo nebo kdo změnil konfiguraci. Na zařízení ale tyto záznamy dlouho nevydrží, místa je málo a po restartu často zmizí. Proto je zařízení posílají po síti protokolem syslog na centrální server.

Tento návod ukazuje, jak syslog do FlowPro NG posílat z nejčastějších zařízení a co se s logy děje potom: jak je FlowPro NG rozpozná, jak v nich hledat a jak z nich vznikají upozornění.

Jak příjem syslogu funguje

FlowPro NG přijímá syslog na UDP portu 514. Každou zprávu rozebere: z hlavičky přečte závažnost (od „emergency“ po „debug“), kategorii (facility), čas a jméno zařízení, zbytek uloží jako text zprávy. Nejlépe zpracuje klasický formát BSD syslog (RFC 3164), který umí prakticky každé zařízení. Zprávy v jiném formátu, třeba RFC 5424, se také uloží a dají se prohledávat, jen bez rozpoznané závažnosti.

U známých typů zpráv jde rozbor dál a FlowPro NG z textu vytáhne jednotlivé údaje:

• přihlášení a odhlášení včetně neúspěšných pokusů: uživatel, adresa a způsob přístupu (WinBox, SSH, web, API),
• firewallové logy z MikroTiku a ve formátu iptables (Linux, UniFi): adresy, porty, protokol, rozhraní, NAT a rozhodnutí, zda bylo spojení povoleno, nebo zahozeno,
• změny konfigurace, změny uživatelů a pravidel firewallu,
• události VPN (WireGuard, OpenVPN), DHCP, změny stavu rozhraní, OSPF a restarty zařízení.

Veřejným adresám se navíc doplní země a město. Logy pak leží v Elasticsearch, kde se dají rychle prohledávat i po milionech záznamů.

Než začnete

Síť. Firewall mezi zařízením a serverem musí propustit UDP na port 514 směrem k serveru. Syslog se posílá nešifrovaně, takže ho veďte vnitřní sítí nebo přes VPN.

Licence. Každé zařízení, které posílá syslog, se počítá jako agent. Ve verzi zdarma můžete připojit 5 agentů, v Core 50, v Security 200 a v Enterprise neomezeně.

V příkladech níže je adresa serveru FlowPro NG 192.0.2.10. Nahraďte ji svou. Hotovou konfiguraci s doplněnou adresou vašeho serveru najdete také ve FlowPro NG v Infrastruktura → Syslog agenti, kde jsou záložky pro MikroTik, Ubiquiti a Linux.

MikroTik (RouterOS)

V RouterOS se nejdřív založí cíl (logging action), kam se mají zprávy posílat, a pak se určí, které zprávy na něj půjdou. Pro RouterOS v7:

/system logging action
add name=flowpro target=remote remote=192.0.2.10 remote-port=514 syslog-time-format=bsd-syslog syslog-facility=local0

/system logging
add action=flowpro topics=info
add action=flowpro topics=warning
add action=flowpro topics=error
add action=flowpro topics=critical

V RouterOS v6 místo syslog-time-format=bsd-syslog použijte bsd-syslog=yes. Kontrolu nastavení vypíše /system logging print where action=flowpro.

Tato varianta posílá všechny zprávy od závažnosti „info“ výš. Pokud chcete posílat jen vybrané oblasti, použijte místo závažností kategorie, například topics=system, topics=firewall, topics=interface nebo topics=wireguard. Obě varianty nekombinujte. Každá zpráva má kategorii i závažnost, takže by přišla dvakrát.

Ubiquiti UniFi

V aplikaci UniFi Network otevřete Settings → System → Advanced a zapněte Remote Syslog Server. Jako hostitele zadejte adresu serveru FlowPro NG, port 514 a úroveň logování Normal, nebo Verbose pro víc podrobností. Brána UniFi posílá firewallové logy ve formátu iptables, takže FlowPro NG z nich rozpozná adresy, porty a to, zda pravidlo spojení zablokovalo. Pokud máte v Settings → Security → Threat Management zapnuté IDS nebo IPS, přicházejí stejnou cestou i jeho upozornění.

Linux

Na linuxovém serveru stačí přeposílat logy z rsyslogu, který je na Ubuntu a Debianu výchozí. Vytvořte soubor /etc/rsyslog.d/90-flowpro.conf s jedním řádkem a službu restartujte:

*.* @192.0.2.10:514

sudo systemctl restart rsyslog

Jeden znak @ znamená UDP. Pro syslog-ng najdete hotovou konfiguraci v Infrastruktuře na záložce Linux.

Další zařízení

Syslog umí naprostá většina síťových zařízení, od switchů Cisco a HPE přes firewally a Wi-Fi kontroléry po NAS a UPS. Postup je vždy stejný: v nastavení zařízení najděte vzdálený syslog (remote syslog, syslog server, log server), zadejte adresu FlowPro NG, port 514/UDP a pokud je na výběr, formát BSD nebo RFC 3164. Zprávy se uloží a dají se prohledávat a filtrovat podle zařízení i závažnosti.

Ověření v Infrastruktuře

Zařízení, které začne posílat logy, se během chvíle objeví v Infrastruktuře, zatím žlutě jako nové. Kliknutím ho přidáte do evidence, pojmenujete a nastavíte mu kritičnost. Infrastruktura pak u každého zařízení ukazuje stav a počet událostí za posledních 24 hodin. Zařízení, které se odmlčí, změní stav, takže hned vidíte, že z něj přestaly chodit logy.

Pokud se zařízení neobjeví, ověřte na serveru, že zprávy vůbec dorazí: sudo tcpdump -ni any udp port 514 -c 10. Když nic nepřijde, hledejte chybu na cestě, typicky ve firewallu nebo ve špatně zadané adrese.

Hledání v logech

Všechny logy prohledáte v Průzkumníku logů. Dotaz se píše jako ve vyhledávači, buď prostý text, nebo pole:hodnota se spojkami AND, OR a NOT. Logy ze síťových zařízení vyfiltrujete dotazem event.dataset:mikrotik.syslog, a to pro všechna zařízení, nejen MikroTik. Nad výsledky je graf počtu událostí v čase, vlevo pole, podle kterých jde výsledek kliknutím zúžit. Tlačítko Živě zobrazuje nové zprávy průběžně a výsledky můžete exportovat.

Rozpoznané zprávy mají vlastní pole. Na přihlášení do routerů se zeptáte dotazem event.action:user_login, na neúspěšné pokusy event.action:user_login_failure a na zahozená spojení event.action:firewall_log AND mikrotik.firewall.action:drop. Detail události ukáže původní zprávu, závažnost, rozpoznané adresy a všechna pole. Odtud jedním kliknutím zobrazíte jen události daného zařízení, jeho upozornění nebo okolní události ze stejného času.

Vyhodnocení: od logu k upozornění

Hledání v logech pomáhá, když už víte, co hledáte. Aby vás FlowPro NG na problém upozornil sám, běží nad logy detekční pravidla. Každé pravidlo je dotaz, který se pravidelně spouští, typicky každých 5 minut. Když najde odpovídající zprávy, vytvoří upozornění se závažností a odkazem na logy, které ho spustily.

Pravidla najdete v Nastavení → Detekce a oznámení → Detekční pravidla. Na záložce Kategorie jsou rozdělená podle zdroje dat a u každé kategorie je vidět, zda pro ni máte data. Logů ze syslogu se týká kategorie Síťová zařízení (Syslog). Tlačítko Aktivovat s daty zapne všechny kategorie, pro které data máte, a vypne ty, pro které ne.

Pro MikroTik je připravený balíček pravidel, který hlídá:

• neúspěšné přihlášení k routeru,
• útok hrubou silou, tedy 5 a více neúspěšných přihlášení z jedné adresy během několika minut (kritická závažnost),
• změnu uživatelského účtu,
• změnu pravidel firewallu,
• restart routeru.

Na záložce Seznam pravidel si můžete napsat i vlastní pravidlo. Zadáte název, dotaz ve stejné syntaxi jako v Průzkumníku logů, závažnost a jak často se má spouštět. Pravidlo pak můžete přímo propojit s notifikačním kanálem. Typické vlastní pravidlo hlídá přihlášení k routeru zvenku nebo konkrétní chybové hlášení, které vám v minulosti předcházelo výpadku.

S licencí Security navíc FlowPro NG porovnává adresy z firewallových logů se seznamy známých škodlivých adres. Když vnitřní zařízení komunikuje s adresou ze seznamu, objeví se to jako událost modulu IOC / Hrozby.

Centrum událostí a notifikace

Upozornění z pravidel končí v Centru událostí společně s událostmi ze všech ostatních modulů. Filtrem zdroje Syslog zobrazíte jen ta, která vznikla z logů síťových zařízení. Opakované upozornění stejného pravidla se seskupí do jednoho řádku s počtem výskytů. Každé můžete potvrdit, uzavřít, okomentovat nebo označit jako falešný poplach.

Aby vám nic důležitého neuteklo, nastavte v Nastavení → Detekce a oznámení → Notifikace kanál (e-mail, Telegram, Slack, Microsoft Teams, ntfy nebo webhook) a pravidlo směrování, které tam pošle například vysoké a kritické události ze syslogu.

Jak dlouho se logy uchovávají

Logy ze síťových zařízení mají v Nastavení → Systém → Databáze → Retence dat vlastní kategorii Síťová zařízení. Výchozí hodnota je 14 dní, protože hlavně firewallové logy rychle přibývají. Dobu můžete prodloužit až po hranici danou licencí: 30 dní ve verzi zdarma, 6 měsíců v Core, rok v Security a neomezeně v Enterprise. Pokud logy uchováváte kvůli NIS2 nebo interním pravidlům, nastavte delší dobu a počítejte s místem na disku. U každé kategorie je vidět, kolik zrovna zabírá.

Celkový princip FlowPro NG popisuje článek Jak funguje FlowPro NG a sběr síťových toků návod Sběr NetFlow. Víc o sběru a vyhodnocení logů najdete na stránce SIEM a správa logů. Sběr syslogu funguje i ve verzi zdarma, takže si ho můžete vyzkoušet hned. Postup je na stránce Vyzkoušet zdarma.