Oracle Cloud Infrastructureドキュメント

Syslogモニタリングの設定

Syslogは、システム・イベント・メッセージをログに記録するために一般的に使用される標準です。これらのメッセージの宛先にはシステム・コンソール、ファイル、リモートsyslogサーバーまたはリレーなどがあります。

概要

Oracle Log Analyticsでは、様々なソースからsyslogデータを収集および分析することができます。syslogサーバーでsyslog出力ポートを構成することのみが必要です。Oracle Log Analyticsは出力ポートをモニターし、リモートsyslogコンテンツにアクセスして、分析を実行します。

Oracle Log AnalyticsでのSyslog監視では、複数のホストおよびポートをリスニングできます。サポートされているプロトコルはTCPおよびUDPです。

Syslogログの収集の全体的なフロー

次に、ホストからログ情報を収集するためのタスクの概要を示します。

Syslogソースの作成

Oracle Log Analyticsには、syslog収集用の複数のOracle定義ログ・ソースがすでに用意されています。使用可能なOracle定義のsyslogソースおよびOracle定義のパーサーのいずれかを使用できるかどうかを確認します。そうでない場合は、次のステップを使用して新しいログ・ソースを作成します。

  1. ナビゲーション・メニューを開き、「監視および管理」をクリックします。「Log Analytics」で、「管理」をクリックします。「管理の概要」ページが開きます。

    管理リソースが、左側のナビゲーション・ペインの「リソース」の下にリストされます。「ソース」をクリックします。

  2. 「ソース」ページが開きます。「ソースの作成」をクリックします。

    「ソースの作成」ダイアログ・ボックスが表示されます。

  3. 「名前」フィールドに、ログ・ソースの名前を入力します。

  4. 「ソース・タイプ」リストから、「Syslog Listener」を選択します。

  5. 「エンティティ・タイプ」をクリックし、「ホスト」のいずれかのバリアント(Host (Linux)、Host (Windows)、Host (AIX)または Host (Solaris)など)をエンティティ・タイプとして選択します。これは、エージェントが実行され、ログが収集されているホストです。syslogリスナーは、同じホストで実行されていない可能性のあるインスタンスからsyslogログを受信するように構成されます。ただし、syslogリスナー・ホストにインストールされているエージェントは、リスナーが収集するように構成されているログを収集します。

    ノート

    • 1つの管理エージェントまたはsyslogには、最大で50の送信者を送信することをお薦めします。送信者をさらに増やすには、より多くの管理エージェントを使用してください。

    • 送信者が開く可能性があるすべての着信接続を処理するには、オペレーティング・システムで送信者ごとに少なくとも50のファイル・ハンドルを構成する必要があります。これは、他の目的でオペレーティング・システムに必要なファイル・ハンドルに対する追加分です。

  6. 「パーサー」をクリックし、適切なパーサーを選択してください。

    通常、Syslog Standard FormatやSyslog RFC5424 Formatなどのバリアント・パーサーのいずれかが使用されます。特定のネットワーク・デバイスには、Oracle定義のsyslogパーサーからも選択できます。

  7. 「リスナー・ポート」タブで、「追加」をクリックして、Oracle Log Analyticsでログを収集するためにリスニングされるリスナーの詳細を指定します。

    syslogサーバーのsyslog構成ファイルで出力ポートとして指定したリスナー・ポートを入力し、必要なプロトコルとして「UDP」または「TCP」のいずれかを選択します。「有効」チェック・ボックスが選択されていることを確認します。

    業界で使用される標準的なネットワークプロトコルである UDPプロトコルとTCPプロトコルの違いの概要を示します。

    UDP TCP
    • システムおよびネットワーク上のオーバーヘッドが少なくなるため、TCPよりも多くのトラフィックを処理できます。通常、ネットワーク、システム、およびワークロードの仕様によって異なりますが、TCPよりも軽量であるとみなされます。
    • 配達を保証するものではありません。管理エージェントにsyslogメッセージを送信するデバイスは、それらを送信し、システムがリスニングしていることを予期します。エージェントが停止している場合、それらのメッセージは失われます。
    • これは、非クリティカル・ログ、つまり、時々失われ、頻繁に再送信されるシグナルに使用します。
    • 送信者は、syslogメッセージを送信する前に、実際に管理エージェントに接続する必要があります。そのため、送信者は、エージェントがペイロードを受け付けていることを認識します。
    • これは、セキュリティなどの重要なログに使用します。
    • TCPは、ネットワークの輻輳を管理し、ネットワークに負荷がかかっているためにログ・メッセージの損失を防ぐのに役立ちます。
    • TCPは、切捨てのリスクなく、より長いログ・メッセージを確実に処理できます。

    複数のリスナー・ポートを追加する場合は、このステップを繰り返します。

    Oracle定義のSyslogログ・ソースでは、次のリスナー・ポートが使用されます。

    Oracle定義のSyslogソース リスナー・ポート

    Palo Alto Syslogログ

    		 8500

    Symantec Endpoint Protection Syslogリスナー・ログ

    		 8501

    Symantec DLP Syslogリスナー・ログ

    		 8502

    Cisco Syslogリスナー・ソース

    		 8503

    QRadar LEEF Syslogリスナー・ソース

    		 8504

    F5 Big IPログ

    		 8505

    Juniper SRX Syslogログ

    		 8506

    Citrix NetScalerログ

    		 8507

    NetApp Syslogログ

    		 8508

    Fortinet Syslogログ

    		 8509

    ArcSight CEF Syslogソース

    		 8510

    Check Point Firewall LEA Syslogログ

    		 8511

    Palo Alto Syslog CEFログ

    		 8512

    TrendMicro Syslog共通イベント・フォーマット・ログ

    		 8513

    Symantec Endpoint Protection System Syslogログ

    		 8514

    F5 Big IP ASM WAF Syslog CEFログ

    		 8516

    CyberArk Syslog共通イベント・フォーマット・ログ

    		 8517

    SquidプロキシSyslogリスナー・ソース

    		 8518

  8. 「ソースの作成」をクリックします。

Syslogデータの表示

Oracle Log Analyticsのログ・エクスプローラの「フィールド」パネルの「ログ・ソース」フィールドを使用して、syslogデータを表示できます。

  1. Oracle Log Analyticsのログ・エクスプローラで、「フィールド」パネルの「ソース」をクリックします。
  2. 「Filter by Source」ダイアログ・ボックスで、作成済のsyslogソースの名前を選択して「Apply」をクリックします。
Oracle Log Analyticsでは構成済のすべてのリスナー・ポートからsyslogデータが表示されます。異なるホストまたはデバイスからsyslogデータを分析できます。