Syslog

Syslog 1980'lerde Unix sistemlerinde ortaya çıktı. Bugün yönlendiricilerden güvenlik duvarlarına, sunuculardan hotspot ağ geçitlerine kadar neredeyse her cihaz bu kayıt iletim standardını destekler. Eski BSD biçimi RFC 3164'te belgelenmiştir. Güncel protokol 2009'da RFC 5424 ile tanımlandı. Her mesaj önceliği (PRI), zaman damgasını, cihaz adını, uygulama adını, isteğe bağlı yapılandırılmış veri alanlarını ve serbest metni içerir.

Öncelik değeri iki bileşenden hesaplanır. Facility mesajın kaynağını gösterir (0–23, ör. kernel, auth, local0–local7). Severity önem derecesini gösterir (0 Emergency, 1 Alert, 2 Critical, 3 Error, 4 Warning, 5 Notice, 6 Informational, 7 Debug). Formül PRI = facility × 8 + severity'dir. Örneğin local0 (16) kaynaklı bir uyarı (4) mesajının önceliği <132> olur.

Taşımada geleneksel UDP 514 portu yaygındır, ancak UDP'de kaybolan paketler fark edilmez. Güvenilirlik gereken yerlerde TCP (RFC 6587) kullanılmalıdır. Gizlilik ve bütünlük için TLS üzerinden syslog (RFC 5425, port 6514) kullanılmalıdır. rsyslog ve syslog-ng gibi yazılımlar mesajları filtreleyebilir, tampona alabilir ve farklı hedeflere yönlendirebilir.

Merkezi log yönetimi ancak kayıtlar doğru zamanı gösteriyorsa işe yarar. Tüm cihazlar NTP ile senkronize edilmeli ve saat dilimi tutarlı olmalıdır. Yasal saklama gereken durumlar da vardır, örneğin 5651 kapsamındaki erişim kayıtları veya CGNAT eşleme logları. Bu durumlarda kayıtların sonradan değiştirilmediğini kanıtlamak için dosyaların özet (hash) değerleri zaman damgasıyla mühürlenmeli ve erişim yetkiyle sınırlandırılmalıdır. Syslog verisi, korelasyon ve alarm üretimi için SIEM sistemlerinin de temel girdisidir.