Configuración de la supervisión de Syslog

Oracle Log Analytics ya proporciona varios orígenes de log definidos por Oracle para la recopilación de syslog. Compruebe si puede utilizar uno de los orígenes de syslog definidos por Oracle disponibles y los analizadores definidos por Oracle. Si no es así, utilice los siguientes pasos para crear un nuevo origen de log:

1. Abra el menú de navegación y haga clic en Observación y gestión. En Log Analytics, haga clic en Administración.

   Los recursos de administración se muestran en el panel en Administración en la izquierda. Haga clic en Orígenes.

2. Se abre la página Orígenes. Haga clic en Crear origen.

   Aparecerá el cuadro de diálogo Crear origen.

3. En el campo Nombre, introduzca el nombre del origen de log.

4. En la lista Tipo de origen, seleccione Listener de Syslog.

5. Haga clic en Tipo de entidad y seleccione una de las variantes de Host como Host (Linux), Host (Windows), Host (AIX) o Host (Solaris) como tipo de entidad. Este es el host en el que el agente se está ejecutando y recopilando los logs. El listener de syslog está configurado para recibir los logs de syslog de instancias que podrían no estar en ejecución en el mismo host. Sin embargo, el agente instalado en el host del listener de syslog recopila esos logs para cuya recopilación está configurado el listener.

   Nota
   
   

   • Se recomienda enviar un máximo de 50 remitentes a un único agente de gestión o a un syslog. Para tener más remitentes, utilice más agentes de gestión.

   • Debe tener al menos 50 manejadores de archivos configurados por remitente en el sistema operativo para manejar todas las posibles conexiones entrantes que los remitentes puedan abrir. Además de los manejadores de archivos necesarios en el sistema operativo para otros fines.

6. Haga clic en Analizador y seleccione un analizador adecuado.

   Normalmente, se usa uno de los analizadores de variante, como Syslog Standard Format o Syslog RFC5424 Format. También puede seleccionar entre los analizadores de syslog definidos por Oracle para dispositivos de red específicos.

7. En el separador Puerto de listener, haga clic en Agregar para especificar los detalles del listener en el que Oracle Log Analytics recibirá para recopilar los logs.

   Introduzca el puerto del listener que ha especificado como puerto de salida en el archivo de configuración de syslog en el servidor syslog y seleccione UDP o TCP como protocolo necesario. Compruebe que se ha activado la casilla de control Enabled.

   Indicación de alto nivel de las diferencias entre los protocolos UDP y TCP que son protocolos de red estándar utilizados en la industria:

   UDP

   TCP

   Menor sobrecarga en el sistema y la red y, por lo tanto, puede manejar más tráfico que TCP. Generalmente depende de las especificaciones de la red, el sistema y la carga de trabajo, pero se considera más ligero que TCP. No garantiza la entrega. El dispositivo que envía mensajes de syslog al agente de gestión los envía y espera que un sistema esté escuchando. Si el agente está caído, esos mensajes se pierden. Utilice esto para los logs no críticos, es decir, las señales que se pueden perder ocasionalmente y que se reenviarán cada cierto tiempo.

   En realidad, el remitente debe establecer una conexión con el agente de gestión antes de enviar los mensajes de syslog, para que el remitente sepa que el agente está aceptando la carga útil. Utilice esta opción para logs importantes, como la seguridad. TCP gestiona la congestión de la red y ayuda a evitar la pérdida de mensajes de registro debido a la sobrecarga de la red. TCP puede manejar mensajes de log más largos de forma fiable sin el riesgo de truncamiento.

   Repita este paso para agregar varios puertos de listener.

   Los siguientes puertos de listener se utilizan en los orígenes de log de Syslog definidos por Oracle:

   Origen de Syslog definido por Oracle	Puerto del Listener
   Logs de Syslog de Palo Alto	8500
   Logs del listener de Syslog de protección de punto final de Symantec	8501
   Logs del listener de Syslog de Symantec DLP	8502
   Origen de listener de Syslog de Cisco	8503
   Origen de listener de Syslog de LEEF de QRadar	8504
   Logs de Big-IP de F5	8505
   Logs de Syslog de Juniper SRX	8506
   Logs de Citrix NetScaler	8507
   Logs de Syslog de NetApp	8508
   Logs de Syslog de Fortinet	8509
   Origen de Syslog de ArcSight CEF	8510
   Logs de comprobación de Syslog de LEA de firewall de punto	8511
   Logs de CEF de Palo Alto Syslog	8512
   Logs de formato de evento común de Syslog de TrendMicro	8513
   Logs de syslog del sistema de protección de punto final de Symantec	8514
   Logs de F5 Big IP ASM WAF Syslog CEF	8516
   CyberArk Registros de formato de eventos comunes de Syslog	8517
   Origen de listener de Syslog de Proxy Squid	8518

8. Haga clic en Crear origen.

Puede utilizar el campo Origen de log del panel Campos del explorador de logs en Oracle Log Analytics para ver los datos de syslog.

1. En el Explorador de logs de Oracle Log Analytics, haga clic en Origen en el panel Campos.
2. En el cuadro de diálogo Filtrar por origen, seleccione el nombre del origen de syslog que ha creado y haga clic en Aplicar.