syslog-ng Premium Edition

Vorwort Eine gute Logging-Infrastruktur ist ein Schlüsselfaktor der Netzwerksicherheit von Unternehmen. Die Entwicklung von syslog-ng war notwendig, da kein Werkzeug existierte, welches die Erfordernisse von Organisationen, die große Netzwerke unterhielten, erfüllen konnte. Syslog-ng (ng: next generation) ist eine Alternative zu syslogd die Standard-Komponente für Protokollierung auf Unix-Systemen und hat die Probleme von Zigtausenden Organisationen gelöst, angefangen von Industrieunternehmen bis hin zu Regierungseinrichtungen. Syslog-ng wurde zur meistverbreiteten alternativen System-Logging Anwendung der letzten zehn Jahre in der Unix/Linux Welt, die Daten sowohl von Microsoft Windows als auch IBM System i Plattformen sammeln kann. Sie verkörpert die nächste Generation von Logging-Systemen und ist das erste wirklich flexible und skalierbare Protokollierungswerkzeug. Syslog-ng ist das Produkt, nach dem Sie gesucht haben, wenn Sie eine Logging-Anwendung benötigen, die: die Verfügbarkeit der Logdaten garantiert, zu einem breiten Spektrum von Betriebssystemen kompatibel ist, einschließlich mehrerer Unix-Varianten und der neuesten Windows Versionen, sowie IBM System i für sicheren, verschlüsselten Log-Transfer und Speicherung sorgt, ihren Wert bereits bewiesen hat, und unvorstellbare Flexibilität für die Verfolgung von Systemereignissen liefert.

Typische Endbenutzer Logdaten enthalten Information über Ereignisse, die auf den Hosts geschehen. Die Überwachung der Systemereignisse ist aus Gründen der Sicherheit und Systemgesundheit unabdingbar. Viele Logdaten enthalten unbedeutende Informationen: syslog-ng hilft Ihnen, nur die wirklich interessanten Nachrichten auszuwählen und diese an einen zentralen Server weiterzuleiten. Unternehmensrichtlinien oder andere Bestimmungen verlangen oft, dass Logdaten archiviert werden: die Speicherung der wichtigen Daten an einer zentralen Stelle vereinfacht diesen Prozess ungemein. Syslog-ng wird weltweit von solchen Unternehmen und Institutionen verwendet, die die Protokolle mehrerer Hosts erfassen und verwalten und diese auf eine zentralisierte, organisierte Weise speichern wollen. Die Benutzung von syslog-ng ist besonders vorteilhaft für: Anbieter von Internet-Dienstleistungen; Finanzielle Institutionen und Unternehmen, die Regularien einhalten müssen; Unternehmen, die Server-, Web-, und Application-Hosting anbieten; Rechen- und Datenzentren; Wide Area Network (WAN) Operatoren; Server-Farm-Administratoren. Öffentliche Referenzen Einige Unternehmen, die sich für die syslog-ng Premium Edition entschieden haben: Allianz Hungary Insurance Co. (http://www.allianz.hu/) Navisite Inc (http://www.navisite.com/) Svenska Handelsbanken AB (http://www.handelsbanken.com/) Swedish National Debt Office (http://www.riksgalden.se) Produktmerkmale und Leistungen Verlässlicher Datentransport mit Hilfe von TCP und TLS Datenfluss-Steuerung Filterung, Segmentierung und Modifikation der Logdaten Unterstützung der neuesten IETF syslog Protokoll Standards Agenten für Microsoft Windows und IBM System i Plattformen IPv4 und IPv6 Unterstützung Fähigkeit, auch extrem hohes Datenaufkommen zu verarbeiten Unterstützung für heterogene UNIX-Umgebungen Sicherer Log-Transfer und Speicherung mittels Public Key Verschlüsselung Festplattenbasierte Nachrichtenpufferung zur Verhinderung von Datenverlust Direkter Datenbankzugriff auf MSSQL, MySQL, Oracle, PostgreSQL und SQLite

Wie funktioniert syslog-ng? Syslog-ng liest eingehende Nachrichten und leitet sie an die ausgewählten Zielorte weiter. Syslog-ng kann Nachrichten von Dateien, entfernten Hosts und anderen Quellen empfangen. Die Logdaten erreichen syslog-ng über eine der definierten Quellen und werden an einen oder mehrere Zielorte gesendet. Quellen und Zielorte sind unabhängige Objekte; Protokollpfade definieren, was syslog-ng mit einer Nachricht tut, die Quellen mit den Zielorten verbindend. Ein Protokollpfad besteht aus einer oder mehreren Quellen und einem oder mehreren Zielorten; Nachrichten, die an einer Quelle ankommen, werden an jeden im Protokollpfad aufgeführten Zielort gesandt. Protokollpfade können Filter, Parser, Modifikationsregeln oder sogar weitere Protokollpfade enthalten. Filter sind Regeln, die nur bestimmte Nachrichten auswählen, beispielsweise nur die von einer bestimmten Anwendung gesandten Nachrichten. Wenn ein Protokollpfad Filter enthält, sendet syslog-ng nur diejenigen Nachrichten an die eingestellten Zielorte, die die Filterregeln erfüllen. Parser segmentieren die Logdaten und machen eine fein einstellbare Filterung möglich, während Modifikationsregeln den Inhalt der Nachrichten ändern können, um beispielsweise sensible Daten zu entfernen. Das folgende einfache Szenario zeigt den Weg einer Protokollnachricht von ihrer Quelle auf dem syslog-ng Client bis hin zu ihrem Zielort auf dem zentralen syslog-ng Server auf. 1. Ein Gerät oder eine Anwendung sendet eine Protokollnachricht an eine Quelle auf dem syslog-ng Client. Zum Beispiel schreibt ein auf Linux laufender Apache Web-Server eine Nachricht in die Datei /var/log/apache, oder eine auf Windows laufende Anwendung schreibt eine Nachricht in das Eventlog. 2. Der auf dem Web-Server laufende syslog-ng Client liest die Nachricht aus der Datei /var/log/apache oder aus der Eventlog-Quelle aus. 3. Der syslog-ng Client verarbeitet die erste Log-Anweisung, welche /var/log/apache oder die Eventlog Quelle beinhaltet. 4. Der syslog-ng Client vergleicht die Nachricht mit den Filtern der Log-Anweisung (wenn vorhanden). Wenn die Nachricht allen Filterregeln entspricht, sendet syslog-ng die Nachricht an die in der Log-Anweisung festgelegten Zielorte, zum Beispiel an den entfernten syslog-ng Server. 5. Der syslog-ng Client verarbeitet die nächste Log-Anweisung, welche die Nachrichtenquelle beinhaltet, die Schritte 3 bis 4 wiederholend.

6. Die vom syslog-ng Client gesendete Nachricht kommt bei einer im syslog-ng Server festgelegten Quelle an. 7. Der syslog-ng Server liest die Nachricht aus ihrer Quelle und verarbeitet die erste Log-Anweisung, die diese Quelle enthält. 8. Der syslog-ng Server vergleicht die Nachricht mit den Filtern der Log-Anweisung (wenn vorhanden). Wenn die Nachricht allen Filterregeln entspricht, sendet syslog-ng die Nachricht an die in der Log-Anweisung festgelegten Zielorte. 9. Der syslog-ng Server verarbeitet die nächste Log-Anweisung, die Schritte 7 bis 9 wiederholend. client host application #1 application #2 application #3 network sources Log messages Log messages Log messages Log paths source #1 source #2 source #3 log paths filters syslog-ng client network destinations local destinations syslog-ng server

Sichere Protokollierung mittels SSL/TLS Logdaten enthalten meist vertrauliche Informationen, die nicht von Dritten eingesehen werden dürfen. Daher verwendet die syslog-ng Premium Edition das Transport Layer Security (TLS) Protokoll zur Verschlüsselung der Kommunikation. TLS ermöglicht darüber hinaus die gegenseitige Authentifizierung von Client und Server mit Hilfe von x.509-zertifikaten. Verschlüsselte, mit Zeitstempel versehene Speicherung der Logdaten Die syslog-ng Premium Edition kann die Logdaten in verschlüsselten, komprimierten, indexierten und mit Zeitstempel versehenen binären Dateien speichern. So können nur autorisierte, mit dem entsprechenden Verschlüsselungscode ausgestattete Personen auf die vertraulichen Daten zugreifen. Der Zeitstempel kann auch von externen Dienstleistern (Timestamping Authority, TSA) eingeholt werden. Verlässlicher Datentransport Die syslog-ng Anwendung ermöglicht es Ihnen, Logdaten Ihrer Systeme an entfernte Server weiterzuleiten. Die Logs verschiedener Server können gesammelt und zentral auf bestimmten syslog-ng Servern gespeichert werden. Der Transfer der Logdaten mittels des TCP Protokolls stellt sicher, dass keine Daten verloren gehen können. Pufferung der Nachrichten auf Festplatte Die syslog-ng Premium Edition speichert die Nachrichten auf der lokalen Festplatte, wenn der zentrale Logserver oder die Netzwerkverbindung nicht zur Verfügung stehen. Nach Wiederaufbau der Verbindung schickt syslog-ng die Nachrichten in der ursprünglichen Reihenfolge an den Server. Der Inhalt des Puffers geht selbst dann nicht verloren, wenn die syslog-ng Anwendung neu gestartet werden muss. Datenfluss-Steuerung Die Datenfluss-Steuerung verwendet ein Kontrollfenster, um festzustellen, ob freier Platz für neue Nachrichten im Ausgabepuffer von syslog-ng vorhanden ist. Wenn der Ausgabepuffer voll ist, kann der Zielort aus einigen Gründen keine neue Daten empfangen: zum Beispiel ist er überlastet, oder die Netzverbindung ist nicht verfügbar. In solchen Fällen hört syslog-ng auf, Daten aus der Quelle zu lesen, solange bis einige Daten erfolgreich an den Zielort gesendet worden sind. Flexible Nachrichtenfilterung und Sortierung Syslog-ng kann eingehende Logdaten, basierend auf deren Inhalt und verschiedenen Parametern wie beispielsweise dem Quell-Server, der Anwendung oder der Priorität sortieren. Verzeichnisse, Dateien und Datenbanktabellen können dynamisch durch Makros erstellt werden. Eine komplexe Filterung, die reguläre Ausdrücke oder boolesche Operatoren verwendet, bietet nahezu uneingeschränkte Flexibilität, um nur die tatsächlich wichtigen Nachrichten an ausgewählte Ziele weiterzuleiten.

Zerlegung und Modifikation der Logdaten Die syslog-ng Anwendung kann Nachrichten auf benannte Felder oder Spalten zerlegen. Diese Felder können als Makros in Dateinamen und Datenbank-Tabellennamen benutzt werden. Es ist auch möglich, den Inhalt von diesen Feldern zu modifizieren, um beispielsweise fehlende Werte einzufügen. Protokollierung von Konfigurationsänderungen Änderungen in der Logging-Infrastruktur sind wichtige Ereignisse, die nicht unbemerkt bleiben dürfen. Die syslog-ng Premium Edition erkennt automatisch die Änderungen ihrer Konfiguration und sendet darüber eine Warnmitteilung in die Logdatei des Systems. Extremer Durchsatz Die syslog-ng ist eine auf Leistung optimierte Anwendung und kann eine enorme Menge an Log-Nachrichten verarbeiten. Abhängig von ihrer exakten Konfiguration kann sie in Echtzeit 75.000 Nachrichten pro Sekunde und über 24 GB rohe Logdaten pro Stunde auf Entry-Level Serverhardware verarbeiten. Unterstützte Quellen und Zielorte Die syslog-ng Premium Edition kann Logdaten aus den folgenden Quellen verarbeiten: Lokale Anwendungen und Prozesse, die Daten an UNIX Domain Sockets, Named Pipes, einfache Textdateien oder an den Standard Output (stdout) senden. Entfernte Clients, die traditionelle syslog Nachrichten (wie in RFC3164 beschrieben) mit Hilfe von UDP, TCP, oder TLS Protokollen über IPv4 und IPv6 Netzwerke senden. Entfernte Clients, die dem neuesten IETF syslog Protokoll Standard entsprechende Nachrichten mit Hilfe von UDP, TCP, oder TLS Protokollen über IPv4 und IPv6 Netzwerke senden. Die syslog-ng Premium Edition kann Logdaten an folgende Zielorte senden: Einfache Textdateien. Verschlüsselte, komprimierte und optional mit Zeitstempel versehene Binär-Dateien. SQL-Datenbanken. Lokale Prozesse, die UNIX Domain Sockets, Named Pipes oder einfache Pipes benutzen. Entfernte syslog-ng Server, die das traditionelle oder das erweiterte syslog Protokoll über IPv4 und IPv6 Netzwerke benutzen. Benutzer-Terminal.

Nachrichten aus jeder Textdatei herauslesen Einige Anwendungen benutzen viele verschiedene Logdateien, und manchmal befinden sich diese Dateien nicht einmal im gleichen Verzeichnis. Die automatisch generierten Datei- und Verzeichnisnamen verursachen häufig Schwierigkeiten. Um all diese Probleme zu lösen, können die Dateinamen und Verzeichnisse, die die von syslog-ng einzulesenden Logdateien spezifizieren, Jokerzeichen beinhalten und syslog-ng kann überdies ganze Unterverzeichnis-Bäume nach den spezifizierten Dateien durchscannen. Direkter Datenbankzugriff Die Speicherung der Logdaten in einer Datenbank erlaubt ein einfaches und schnelles Auffinden der gesuchten Nachrichten und gewährleistet die Zusammenarbeit mit Logdaten analysierenden Anwendungen. Die syslog-ng Premium Edition unterstützt die folgenden Datenbanklösungen: MySQL, Microsoft SQL (MSSQL), Oracle, PostgreSQL und SQLite. IPv4 und IPv6 Unterstützung Die syslog-ng Anwendung unterstützt IPv4 und IPv6; sie kann Nachrichten von beiden Netzwerkarten empfangen und an beide senden. Unterstützte Plattformen Die syslog-ng Premium Edition unterstützt zahlreiche Architekturen, inklusive x86, x86_64 und Sun SPARC, auf einer Vielfalt von Betriebssystemen: Linux, BSD, Solaris, AIX, HP-UX, Microsoft Windows (einschließlich Vista und 2008 Server) und IBM System i. Um eine aktuelle Liste der unterstützten Plattformen zu erhalten, besuchen Sie die syslog-ng Premium Edition Webseite unter http://www.balabit.com/network-security/syslog-ng/central-syslog-server/ Agent für Microsoft Windows Plattformen Der syslog-ng Agent für Windows ist eine Protokolle sammelnde und weiterleitende Anwendung für die Microsoft Windows Plattformen, einschließlich Windows Vista und Windows Server 2008. Er sammelt die Logdaten von Eventlog-Gruppen und Logdateien ein und leitet sie unter Benutzung von regulären oder TLS verschlüsselten TCP Verbindungen an einen syslog-ng Server weiter. Der syslog-ng Agent kann über einen Domain Controller mit Hilfe von Gruppenrichtlinien gesteuert werden, ist aber auch als eigenständige Anwendung lauffähig. Agent für IBM System i Plattformen Der syslog-ng Agent für IBM System i ist eine Systemprotokolle sammelnde und weiterleitende Anwendung für die IBM System i Plattform (früher bekannt als AS/400 und IBM iseries). Er sammelt Anwendungs- und System-Nachrichten sowie Daten vom System i Security Audit Journal (QAUDJRN) und vom Operator Message Queue (QSYSOPR). Die gesammelten Daten werden unter Benutzung von regulären oder TLS verschlüsselten TCP Verbindungen an einen syslog-ng Server weitergeleitet. Der syslog-ng Server kann auf einem separaten Computer oder direkt auf IBM System i im Portable Application Solutions Environment (PASE) laufen. Der syslog-ng Agent für IBM System i ist als selbständiges Produkt verfügbar und muss unabhängig von der syslog-ng Premium Edition lizenziert werden.

Produktunterstützung Produktunterstützung, einschließlich der 24x7 Stunden Online-Unterstützung ist in verschiedenen Paketen verfügbar. Für eine vollständige Liste der Supportoptionen besuchen Sie die folgende Seite: http://www.balabit.com/support/packages/ Lizenzvergabe Die syslog-ng Premium Edition wird nach der Anzahl der Log-Quellen lizenziert: der syslog-ng Server akzeptiert Verbindungen nur von der in seiner Lizenzdatei angegebenen Anzahl an Log-Hosts. Der Erwerb einer syslog-ng Serverlizenz erlaubt Ihnen, folgendes durchzuführen: Installation der syslog-ng Anwendung im Servermodus an einem Single-Host. Dieser Host fungiert als der zentrale Logserver des Netzwerkes. Installation der syslog-ng Anwendung im Relay- oder Client-Modus auf Host-Computern. Die maximale Anzahl der Hosts, die syslog-ng im Relay- oder Client-Modus ausführen dürfen, ist durch die syslog-ng Serverlizenz begrenzt. Die Client- und Relay-Hosts können jedes von syslog-ng unterstützte Betriebssystem benutzen. Der syslog-ng Agent für IBM System i ist als selbständiges Produkt verfügbar und muss unabhängig von der syslog-ng Premium Edition lizenziert werden. Die syslog-ng Open Source Edition steht unter der GNU General Public Lizenz v2 frei zur Verfügung. Die Open Source Edition ist im Kern mit der Premium Edition identisch, ihr fehlen aber einige der fortgeschritteneren Merkmale, wie beispielsweise die Pufferung der Nachrichten auf Festplatte oder die verschlüsselte Speicherung der Logdateien. Kommerzielle Unterstützung und vorkompilierte Binaries für die Open Source Edition sind gegen eine jährliche Gebühr erhältlich. Kostenlose Testversion Testen Sie die syslog-ng Premium Edition, um sich zu vergewissern, dass sie perfekt zu Ihren Bedürfnissen passt. Fordern Sie eine Testversion an unter http://www.balabit.com/mybalabit/.