Recogida de syslog: logs de dispositivos de red y su evaluación

Los routers, switches, firewalls y puntos de acceso registran continuamente lo que ocurre en ellos: quién inició sesión, qué conexión descartó el firewall, qué interfaz se cayó o quién cambió la configuración. En el propio dispositivo estos registros duran poco: hay poco espacio y a menudo desaparecen tras un reinicio. Por eso los dispositivos los envían por la red a un servidor central mediante el protocolo syslog.

Esta guía muestra cómo enviar syslog a FlowPro NG desde los dispositivos más habituales y qué ocurre después con los logs: cómo los analiza FlowPro NG, cómo buscar en ellos y cómo se convierten en alertas.

Cómo funciona la recepción de syslog

FlowPro NG recibe syslog en el puerto UDP 514. Descompone cada mensaje: de la cabecera lee la gravedad (de «emergency» a «debug»), la categoría (facility), la hora y el nombre del dispositivo, y guarda el resto como texto del mensaje. Procesa mejor el formato clásico BSD syslog (RFC 3164), que admite prácticamente cualquier dispositivo. Los mensajes en otro formato, como RFC 5424, también se guardan y se pueden buscar, solo que sin gravedad reconocida.

Con los tipos de mensaje conocidos el análisis va más allá y FlowPro NG extrae del texto los datos concretos:

• inicios y cierres de sesión, incluidos los intentos fallidos: usuario, dirección y método de acceso (WinBox, SSH, web, API),
• logs de firewall de MikroTik y en formato iptables (Linux, UniFi): direcciones, puertos, protocolo, interfaces, NAT y si la conexión se permitió o se descartó,
• cambios de configuración, cambios de usuarios y de reglas del firewall,
• eventos de VPN (WireGuard, OpenVPN), DHCP, cambios de estado de las interfaces, OSPF y reinicios del dispositivo.

A las direcciones públicas se les añade además el país y la ciudad. Los logs se guardan en Elasticsearch, donde se pueden buscar con rapidez incluso entre millones de registros.

Antes de empezar

Red. El firewall entre el dispositivo y el servidor debe permitir UDP al puerto 514 hacia el servidor. Syslog se envía sin cifrar, así que llévelo por la red interna o por una VPN.

Licencia. Cada dispositivo que envía syslog cuenta como un agente. La versión gratuita admite 5 agentes, Core 50, Security 200 y Enterprise un número ilimitado.

En los ejemplos siguientes, la dirección del servidor FlowPro NG es 192.0.2.10. Sustitúyala por la suya. En FlowPro NG también encontrará la configuración lista, con la dirección de su servidor ya completada, en Infraestructura → Agentes Syslog, con pestañas para MikroTik, Ubiquiti y Linux.

MikroTik (RouterOS)

En RouterOS primero se crea un destino (logging action) para los mensajes y después se elige qué mensajes van a él. Para RouterOS v7:

/system logging action
add name=flowpro target=remote remote=192.0.2.10 remote-port=514 syslog-time-format=bsd-syslog syslog-facility=local0

/system logging
add action=flowpro topics=info
add action=flowpro topics=warning
add action=flowpro topics=error
add action=flowpro topics=critical

En RouterOS v6, use bsd-syslog=yes en lugar de syslog-time-format=bsd-syslog. /system logging print where action=flowpro muestra la configuración.

Esta variante envía todos los mensajes de gravedad «info» o superior. Si solo quiere enviar ciertas áreas, use categorías en lugar de gravedades, por ejemplo topics=system, topics=firewall, topics=interface o topics=wireguard. No combine ambas variantes: cada mensaje tiene categoría y gravedad, así que llegaría dos veces.

Ubiquiti UniFi

En la aplicación UniFi Network, abra Settings → System → Advanced y active Remote Syslog Server. Como host, indique la dirección del servidor FlowPro NG, el puerto 514 y el nivel de registro Normal, o Verbose para más detalle. La pasarela UniFi envía los logs de firewall en formato iptables, así que FlowPro NG reconoce las direcciones, los puertos y si una regla bloqueó la conexión. Si tiene IDS o IPS activado en Settings → Security → Threat Management, sus alertas llegan por el mismo camino.

Linux

En un servidor Linux basta con reenviar los logs de rsyslog, que es el predeterminado en Ubuntu y Debian. Cree el archivo /etc/rsyslog.d/90-flowpro.conf con una línea y reinicie el servicio:

*.* @192.0.2.10:514

sudo systemctl restart rsyslog

Una sola @ significa UDP. Para syslog-ng encontrará una configuración lista en la pestaña Linux de Infraestructura.

Otros dispositivos

La gran mayoría de los dispositivos de red admiten syslog, desde switches Cisco y HPE hasta firewalls, controladores Wi-Fi, NAS y SAI. El procedimiento es siempre el mismo: en la configuración del dispositivo, busque syslog remoto (remote syslog, syslog server, log server), indique la dirección de FlowPro NG y el puerto 514/UDP y, si se puede elegir, el formato BSD o RFC 3164. Los mensajes se guardan y se pueden buscar y filtrar por dispositivo y gravedad.

Comprobación en Infraestructura

Un dispositivo que empieza a enviar logs aparece enseguida en Infraestructura, al principio en amarillo como nuevo. Con un clic lo añade al inventario, le pone nombre y le asigna una criticidad. A partir de ahí, Infraestructura muestra el estado de cada dispositivo y el número de eventos de las últimas 24 horas. Un dispositivo que deja de enviar cambia de estado, así que verá enseguida que sus logs han dejado de llegar.

Si el dispositivo no aparece, compruebe en el servidor que los mensajes llegan: sudo tcpdump -ni any udp port 514 -c 10. Si no llega nada, busque el problema en el camino, normalmente un firewall o una dirección incorrecta.

Búsqueda en los logs

Todos los logs se buscan en el Log Explorer. Las consultas funcionan como en un buscador: texto libre o campo:valor combinados con AND, OR y NOT. La consulta event.dataset:mikrotik.syslog filtra los logs de dispositivos de red, de todos, no solo de MikroTik. Sobre los resultados hay un gráfico de eventos en el tiempo y, a la izquierda, campos en los que puede hacer clic para acotar el resultado. El botón En vivo muestra los mensajes nuevos a medida que llegan, y los resultados se pueden exportar.

Los mensajes reconocidos tienen campos propios. Para ver los inicios de sesión en routers, use event.action:user_login; para los intentos fallidos, event.action:user_login_failure; y para las conexiones descartadas, event.action:firewall_log AND mikrotik.firewall.action:drop. El detalle del evento muestra el mensaje original, la gravedad, las direcciones reconocidas y todos los campos. Desde ahí, con un clic verá solo los eventos de ese dispositivo, sus alertas o los eventos de alrededor del mismo momento.

Evaluación: del log a la alerta

Buscar en los logs ayuda cuando ya sabe lo que busca. Para que FlowPro NG le avise de un problema por sí mismo, sobre los logs funcionan reglas de detección. Cada regla es una consulta que se ejecuta periódicamente, normalmente cada 5 minutos. Cuando encuentra mensajes que coinciden, crea una alerta con una gravedad y un enlace a los logs que la provocaron.

Las reglas están en Configuración → Detección y avisos → Reglas de detección. En la pestaña Categorías se agrupan por fuente de datos, y cada categoría indica si tiene datos para ella. Los logs de syslog pertenecen a la categoría Dispositivos de red (Syslog). El botón Activar con datos activa todas las categorías para las que tiene datos y desactiva las demás.

Para MikroTik hay un paquete de reglas preparado que vigila:

• un inicio de sesión fallido en el router,
• un ataque de fuerza bruta, es decir, 5 o más inicios de sesión fallidos desde una dirección en pocos minutos (gravedad crítica),
• un cambio en una cuenta de usuario,
• un cambio en las reglas del firewall,
• un reinicio del router.

En la pestaña Lista de reglas también puede escribir su propia regla. Indica un nombre, una consulta con la misma sintaxis que en el Log Explorer, una gravedad y la frecuencia de ejecución. Después puede vincular la regla directamente con un canal de notificación. Una regla propia típica vigila los inicios de sesión en un router desde fuera o un mensaje de error concreto que en el pasado precedió a una caída.

Con la licencia Security, FlowPro NG compara además las direcciones de los logs de firewall con listas de direcciones maliciosas conocidas. Cuando un dispositivo interno se comunica con una dirección de esas listas, aparece como evento del módulo IOC / Amenazas.

Centro de eventos y notificaciones

Las alertas de las reglas terminan en el Centro de eventos, junto con los eventos de todos los demás módulos. El filtro de fuente Syslog muestra solo las que proceden de logs de dispositivos de red. Las alertas repetidas de la misma regla se agrupan en una fila con el número de repeticiones. Cada una se puede confirmar, cerrar, comentar o marcar como falso positivo.

Para que no se le escape nada importante, configure un canal en Configuración → Detección y avisos → Notificaciones (correo electrónico, Telegram, Slack, Microsoft Teams, ntfy o un webhook) y una regla de enrutamiento que le envíe, por ejemplo, los eventos altos y críticos de syslog.

Cuánto tiempo se conservan los logs

Los logs de dispositivos de red tienen su propia categoría, Dispositivos de red, en Configuración → Sistema → Bases de datos → Retención de datos. El valor predeterminado es de 14 días, porque sobre todo los logs de firewall crecen deprisa. Puede ampliarlo hasta el límite de su licencia: 30 días en la versión gratuita, 6 meses en Core, un año en Security y sin límite en Enterprise. Si conserva los logs por NIS2 o por normas internas, fije un periodo más largo y cuente con el espacio en disco. Cada categoría muestra cuánto ocupa en ese momento.

El funcionamiento general de FlowPro NG se describe en el artículo Cómo funciona FlowPro NG, y la recogida de flujos en la guía Recogida de NetFlow. Encontrará más sobre la recogida y evaluación de logs en la página SIEM y gestión de logs. La recogida de syslog también forma parte de la versión gratuita, así que puede probarla enseguida. Los pasos están en la página Prueba gratuita.