Monitoree los mensajes de Syslog con Kiwi Syslog Server NG

Un mensaje de Syslog es un mensaje en formato estandarizado que usa el Protocolo de registro del sistema (syslog) que los dispositivos de red usan para comunicarse. Los dispositivos de red – como los enrutadores, conmutadores, firewalls y servidores – usan los mensajes de Syslog para enviar información acerca de su estado o de eventos importantes, por lo que son extremadamente importantes para la detección y solución de problemas de red.

La clave para aprovechar los mensajes de Syslog para el monitoreo y la detección y solución de problemas de red es contar con un buen servidor syslog. Un servidor syslog puede centralizar los mensajes de Syslog de sus dispositivos con capacidad syslog y permitirle acceder a ellos, buscarlos o filtrarlos (y, en general, mucho más). Por este motivo, los dispositivos con capacidad syslog deben configurarse para enviar los mensajes de Syslog a un servidor syslog.

Principalmente, los dispositivos de red con sistemas operativos Linux y Unix usan los mensajes de Syslog. De manera predeterminada, los mensajes de Syslog se envían mediante UDP (Protocolo de datagramas de usuarios), que usan un protocolo sin conexión, por lo que no es posible garantizar que el mensaje llegue con éxito. Sin embargo, algunos dispositivos también pueden usar un protocolo orientado a la conexión – TCP (Protocolo de control de la transmisión) – que ayuda a garantizar la entrega del mensaje.

¿Para qué se usan los mensajes de Syslog?

En general, a los mensajes de Syslog los usan los administradores de red y sistemas para la detección y solución anticipadas de posibles problemas de un dispositivo de red. Los mensajes de Syslog proporcionan información fundamental acerca del estado del dispositivo de red y de eventos importantes capaces de provocar un impacto negativo en la operación estándar de una red. Junto con las capturas SNMP, los mensajes de Syslog son medios básicos de comunicación para los dispositivos de red, como enrutadores, conmutadores, firewalls y servidores. En una red típica, se generan miles de mensajes de Syslog y capturas SNMP por minuto, lo que hace que sea imposible usarlos para el monitoreo de la red sin una solución centralizada. Ambos tipos de mensajes pueden recopilarse mediante un servidor syslog, que actúa como un lugar central para los registros que generan los dispositivos de red. Un servidor syslog ofrece una forma sencilla de acceder, buscar y filtrar registros, y es una parte crucial de la administración de registros.

Los mensajes de Syslog constan de tres partes principales:

HEADER (información de identificación) SD (datos estructurados) MSG (el mensaje en sí).

Encabezado: En el encabezado de un mensaje de Syslog se incluye información de identificación, como la versión, la marca de hora, el nombre del host, la dirección IP del dispositivo, la ID de proceso y la prioridad del mensaje (PRI). La prioridad de un mensaje de Syslog es un valor que se calcula y que ayuda a clasificar los mensajes de Syslog, determinar la importancia completa del mensaje y asignar una reacción apropiada, si es necesario.

Datos estructurados: Esta parte de un mensaje de Syslog se diseñó para proporcionar un formato de datos bien diseñado y fácil de analizar. Dado que el mensaje en sí presenta un formato de texto libre, puede resultar complejo extraer información relevante de él. Los datos estructurados ofrecen una manera de proporcionar valiosa información adicional acerca del mensaje de Syslog (como los contadores de tráfico o las direcciones IP) en un formato más sencillo para el siguiente procesamiento de datos.

Mensaje: Esta parte de un mensaje de Syslog incluye el mensaje real en formato de texto libre y proporciona información acerca del evento. En general, se usa un conjunto de caracteres UNICODE codificados con UTD-8 en los mensajes de Syslog.

PRI: La prioridad de un mensaje de Syslog se calcula como una combinación de dos variables: la instalación y la gravedad.

El código de instalación especifica el tipo de sistema que generó el mensaje. Puede tener un valor numérico entre 0 y 23 en función de 15 valores previamente definidos y 8 valores que se pueden definir de manera local:

Número - Descripción de la instalación

0 - Mensajes kernel

1 - Mensajes a nivel del usuario

2 - Sistema de correo electrónico

3 - Demonios del sistema

4 - Mensajes de seguridad/autorización

5 - Mensajes generados por syslogd

6 - Subsistema de impresora de línea

7 - Subsistema de novedades de la red

8 - Subsistema UUCP

9 - Demonio del reloj

10 - Mensajes de seguridad/autorización

11 - Demonio de FTP

12 - Subsistema de NTP

13 - Auditoría de registro

14 - Alerta de registro

15 - Demonio del reloj

16 – 23 - Usado localmente

Gravedad: Esta variable especifica la importancia del mensaje en sí y puede tener un valor numérico entre cero y siete (desde mensajes de emergencia hasta de nivel de depuración).

La prioridad de un mensaje de Syslog se calcula de la siguiente manera:

Prioridad = Instalación * 8 + Gravedad

Por ejemplo, un mensaje de kernel de emergencia tendría un valor de prioridad de 0. Cuanto menor sea el valor de prioridad, mayor será la importancia del mensaje.

Un buen servidor syslog le permite identificar mensajes con alta prioridad y reaccionar de manera adecuada a la situación, independientemente de que eso signifique enviar una notificación por correo electrónico al administrador de red o ejecutar una cadena externa.

Existen ocho niveles de gravedad que se usan para categorizar mensajes de Syslog. La descripción de cada nivel de gravedad según el Protocolo syslog RFC 5424 es la siguiente:

Código numérico - Gravedad

0 - Emergencia: el sistema no se puede usar

1 - Alerta: se debe actuar de inmediato

2 - Crítico: condiciones críticas

3 - Error: condiciones de error

4 - Advertencia: condiciones de advertencia

5 - Aviso: condición normal, pero significativa

6 - Informativa: mensajes informativos

7 - Depuración: mensajes de nivel de depuración

Es poco probable que recibas mensajes de emergencia, ya que estos implican que el sistema no funciona y no puede enviar mensajes. Por otro lado, los mensajes de depuración se usan, a menudo, durante el desarrollo y no afectan generalmente las operaciones de red, por lo que es conveniente recibir notificaciones acerca de ellos.

Al igual que el nivel de prioridad, un buen servidor syslog debe permitirle configurar reglas para reaccionar a los mensajes de Syslog según sus niveles de gravedad.

Puede monitorear los mensajes de Syslog con mayor eficacia en Kiwi Syslog Server NG si define reglas y usa filtros. Este sólido monitor syslog ofrece la capacidad de definir un número ilimitado de reglas (consistente en un número ilimitado de filtros y acciones para cada regla), de manera que pueda procesar y responder a los mensajes de Syslog según sus criterios y necesidades. Kiwi Syslog Server NG ofrece accesos directos del teclado para simplificar las acciones de eliminar, insertar, copiar, pegar, mover, renombrar y nombrar de manera automática sus reglas, filtros, acciones y programas.

Las reglas le indican a Kiwi Syslog Server NG cómo procesar los mensajes de Syslog entrantes, incluso qué mensajes desencadenan qué acciones. Si una regla se aplica a un mensaje de registro, Kiwi Syslog Server NG comparará el mensaje con cada filtro de la regla, desde el principio. Si alguna condición del filtro es falsa, Kiwi Syslog Server NG dejará de procesar la regla y aplicará la siguiente al mensaje. Sin embargo, si todas las condiciones de un filtro son verdaderas, Kiwi Syslog Server NG repetirá el proceso con el siguiente filtro. Si un mensaje pasa por todos los filtros de una regla, Kiwi Syslog Server NG comenzará a realizar todas las acciones en orden. Al terminar con todos los filtros y acciones en la primera regla, Kiwi Syslog Server NG pasará a la siguiente, por lo que aplicar las reglas en orden es fundamental.

Es sencillo agregar reglas para determinar qué acciones se realizan a continuación de que se recibe un mensaje. Para empezar, haga clic en Configuración en el menú principal. A continuación, haga clic en Reglas y Agregar regla en el cuadro de diálogo de Kiwi Syslog Server NG a fin de agregar una nueva regla al árbol. Por último, dé un nombre a la regla, agregue filtros y acciones de reglas, y guarde sus cambios con un clic en Aceptar. Después de crear una regla, puede exportarla fácilmente para compartirla con otro Kiwi Syslog Server NG.

Puede establecer filtros a fin de controlar si un mensaje desencadena las acciones de una regla. SolarWinds Kiwi Syslog Server NG le permite filtrar mensajes en función de la dirección IP, la prioridad, la hora del día, el origen de entrada, las expresiones regulares y el texto del mensaje. Luego de crear sus filtros, Kiwi Syslog Server NG los aplicará de manera automática en el orden que aparecen, pero si se abstiene de los filtros, todos los mensajes desencadenarán acciones.

Puede configurar Kiwi Syslog Server NG para que realice una acción específica cuando un mensaje pasa por todos los filtros de una regla. Entre las acciones comunes, se incluyen las siguientes:

• Ejecutar una cadena o programa externo
• Enviar un correo electrónico
• Registrar mensajes entrantes en una archivo, Papertrail™ o Loggly^®
• Enviar un mensaje de Syslog o una captura SNMP
• Restablecer contadores y marcadores
• Mostrar un mensaje

Configurar sus dispositivos habilitados para syslog a fin de que comiencen a enviar mensajes a Kiwi Syslog Server NG para el monitoreo de Syslog es sencillo. En principio, asegúrese de que su dispositivo tengas las capacidades de registro de mensajes habilitadas. Afortunadamente, la mayoría de los dispositivos capaces de generar mensajes de Syslog habilitan de manera automática los registros, pero siempre es buena idea volver a revisarlo. A continuación, configure su dispositivo para que envíe mensajes de Syslog a un puerto (por lo general, el puerto 514) en la computadora con Kiwi Syslog Server NG.

El estándar RFC 5426 nombró al puerto 514 como el predeterminado para los mensajes de Syslog. Kiwi Syslog Server NG escuchará los mensajes del Protocolo de datagramas de usuarios (UDP) en el puerto 514 de manera predeterminada. Sin embargo, si esto no satisface sus necesidades, puede configurar de manera sencilla Kiwi Syslog Server para que escuche los mensajes del Protocolo de control de la transmisión (TCP), los mensajes de TCP seguro y las capturas del Protocolo simple de administración de la red (SNMP), en lugar de los mensajes de UDP. Puede configurar Kiwi Syslog Server NG para que escuche los mensajes de UDP, TCP, TCP seguro o SNMP en un puerto diferente.

Para configurar las opciones de entrada de UDP, abra la sección de configuración de Kiwi Syslog Server NG en Configuración en el menú principal. A continuación, en el elemento de menú Entradas, haga clic en UDP y especifique el puerto donde le gustaría escuchar los mensajes de UDP. Cualquier valor de puerto entre 1 y 65535 funcionará si el dispositivo que transmite el mensaje de Syslog admite el nuevo número de puerto. Es mejor dejar el campo Enlazar a dirección en blanco y permitir que su socket de UDP escuche los mensajes de todas las interfaces. Sin embargo, especificar la dirección IP en el campo Enlazar a dirección le permitirá limitar los enlaces a una interfaz determinada. Puede establecer el método de decodificación que se aplicará a los datos entrantes si selecciona un formato de codificación en el menú desplegable o vuelve a introducir el número de página del código en la sección Codificación de datos. Después de configurar sus ajustes, haga clic en Aplicar para guardar los cambios.

Configurar las opciones de entrada de TCP, TCP seguro y capturas SNMP es igualmente simple. En lugar de hacer clic en UDP en Entradas, seleccione TCP o SNMP. A continuación, puede configurar los ajustes. Por ejemplo, el puerto predeterminado para los mensajes de Syslog de TCP es 1468, pero puede seleccionar un número de puerto diferente. Al igual que con los mensajes de UDP, puede alterar el campo Enlazar a dirección y el formato de codificación de los datos. Luego, especifique los delimitadores de su mensaje, también conocidos como separadores, que indican qué carácter o secuencia de caracteres divide un flujo de TCP en mensajes de Syslog separados.

Como ingeniero de red o sistemas, querrá usar una herramienta de administración de Syslog para recopilar y monitorear mensajes de Syslog de sus dispositivos de red. Kiwi Syslog Server NG puede recopilar datos syslog de un número ilimitado de dispositivos, para que pueda monitorear con facilidad todos sus conmutadores, firewalls y enrutadores.

Además de monitorear mensajes de Syslog, Kiwi Syslog Server NG puede recopilar capturas de Protocolo simple de administración de la red (SNMP) de sistemas Unix, Linux y Windows, lo que le permite ver información fundamental de su infraestructura de TI en una ubicación centralizada.

Puede ver sus datos en tiempo real con la consola basada en web fácil de usar de syslog desde cualquier lugar del mundo que cuente con acceso web. Kiwi Syslog Server NG cuenta con 21 vistas personalizables y gráficos de estadísticas de syslog, para que pueda comprender, detectar y solucionar rápidamente problemas de red o de desempeño de los dispositivos. Puede filtrar mensajes de Syslog por dirección IP de host, prioridad, nombre del host u hora del día a fin de localizar los mensajes cruciales.

Además de solo recopilar y monitorear mensajes de Syslog, capturas SNMP y registros de eventos de Windows, Kiwi Syslog Server NG puede responder a los mensajes de Syslog gracias a sus acciones integradas.

Entre otras de las ventajas de Kiwi Syslog Server NG se incluye la capacidad de realizar lo siguiente:

• Archivar mensajes de Syslog en disco, archivos o bases de datos que cumplen con ODBC
• Reenviar mensajes a otras herramientas de administración de TI de SolarWinds como Loggly, Papertrail, Security Event Manager (SEM) y Network Performance Monitor (NPM)
• Mantener despejada la bandeja de entrada gracias a las capacidades avanzadas de búfer de mensajes de Kiwi Syslog Server
• Almacenar, archivar y limpiar registros para ayudar a demostrar el cumplimiento con SOX, PCI-DSS e HIPAA