Was ist die Protokoll-Exportfunktion?

Die Log-Export-Funktionalität (LEF) ist eine Funktion des Betriebssystems „ Versa “ (VOS), die von Funktionen und Diensten erzeugte Protokolle über TCP- oder UDP-Verbindungen, sogenannte LEF-Verbindungen, an ein Ziel weiterleitet – einen Log-Collector von „ Versa Analytics“, einen Syslog-Server eines Drittanbieters oder einen NetFlow-Collector. Ein LEF-Profil legt fest, welcher Collector die Protokolle der jeweiligen Funktion oder Richtlinie empfängt.

Die wichtigsten Erkenntnisse

• LEF leitet VOS-Protokolle an Analytics-, Syslog- oder NetFlow-Kollektoren weiter.
• LEF-Profile ordnen jedes Merkmal oder jede Richtlinie dem entsprechenden Log-Collector-Ziel zu.
• Die Protokolle werden über TCP- oder UDP-Verbindungen, sogenannte LEF-Verbindungen, an die Sammler übertragen.
• Ein Standard-LEF-Profil exportiert Alarm-, SLA- und Systemprotokolle automatisch.
• Jeder Mandant konfiguriert seine eigenen, separaten Vorlagen, Sammler und Profile.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · LEF & Versa · Häufig gestellte Fragen

Warum ist LEF wichtig?

Protokolle sind wertlos, wenn sie das Gerät, das sie erzeugt hat, nie verlassen. LEF sorgt dafür, dass VOS-Geräte – Zweigstellen, Gateways und Controller-Knoten – mit den Systemen kommunizieren, die Rohdaten in aussagekräftige Informationen umwandeln: Versa -Analytics-Dashboards, das SIEM eines Sicherheitsteams oder ein NetFlow-basierter Datenverkehrsanalysator. Ohne diese Funktion bleiben Alarme, Firewall-Entscheidungen, DLP-Treffer und SLA-Verstöße lokal auf dem Gerät und werden niemals korreliert, durchsucht oder als Warnmeldungen ausgegeben.

LEF überträgt zudem die Betriebssignale, die den einwandfreien Zustand des Netzwerks gewährleisten. Ein Standard-LEF-Profil exportiert automatisch Alarm-, LTE-, SD-WAN-SLA- und Systemauslastungsprotokolle – auf die sich die Telemetrie-Dashboards und das NOC-Alarmsystem stützen –, ohne dass eine Konfiguration pro Funktion erforderlich ist. Und da LEF die Daten im branchenüblichen IPFIX- oder Syslog-Format exportiert, können Unternehmen, die bereits ein SIEM-System oder einen NetFlow-Kollektor einsetzen, „ Versa “-Geräte in bestehende Pipelines einbinden, anstatt neue aufzubauen.

Was ist LEF?

Im Hintergrund besteht LEF aus einer Kette von Konfigurationsobjekten. Eine Vorlage legt das Exportformat fest – IPFIX für Analytics- und NetFlow-Ziele, Syslog für Syslog-Server von Drittanbietern. Ein Collector benennt ein Ziel – eine IP-Adresse oder einen FQDN, einen Port und ein Transportprotokoll (TCP oder UDP) – sowie Warteschlangenbegrenzungen, die regeln, wie das Gerät Protokolle puffert, wenn eine Verbindung langsam ist oder ausfällt. Kollektoren können zur Gewährleistung hoher Verfügbarkeit in Gruppen zusammengefasst werden, mit einem primären Kollektor und automatischem Failover auf einen Backup-Kollektor.

Ein LEF-Profil verknüpft eine Vorlage mit einem Kollektor (oder einer Gruppe) und wird auf eine Funktion, einen Dienst, eine Regel zur Verkehrsüberwachung oder die Konfiguration der Protokollierungssteuerung des Mandanten angewendet; ein Profil pro Mandant kann als Standard festgelegt werden, wodurch kritische Protokolle automatisch weitergeleitet werden, ohne dass eine Einrichtung pro Funktion erforderlich ist. Die Protokolle werden im Syslog-Format übertragen, versehen mit einer Syslog-Kennung, die den Protokolltyp angibt (accessLog, alarmLog, dlpLog usw.), und zwar über eine TCP- oder UDP-Sitzung, die als LEF-Verbindung bezeichnet wird – typischerweise wird diese über einen Application Delivery Controller geroutet.

Arten von LEF-Exporten

LEF sendet Protokolle an drei verschiedene Zielorte, wobei sich das Format je nach Zielort ändert. Beim Analytics-Export werden die Protokolldaten im IPFIX-Format an die Analytics-Protokollsammelknoten von Versa gesendet, wodurch die Analytics-Dashboards und Protokollbildschirme in Director gefüllt werden – dies ist der häufigste Anwendungsfall. Beim Syslog-Export werden dieselben Ereignisse im Standard-Syslog-Format an einen Syslog-Server oder ein SIEM eines Drittanbieters gesendet, sodass das Sicherheitsteam die VOS-Protokolle in die bereits verwendeten Tools integrieren kann. Auch der NetFlow-Export nutzt IPFIX, das so formatiert ist, dass es mit Flow-Collectors von Drittanbietern wie SolarWinds und Cisco Stealthwatch kompatibel ist; da die IPFIX-Felder nicht herstellerübergreifend vollständig standardisiert sind, unterstützen VOS-Geräte sowohl eine Vorlage für den Beginn und das Ende eines Flows als auch eine Vorlage für periodische Zwischenaufzeichnungen.

Eine vierte Unterscheidung zieht sich quer durch alle drei Bereiche: Wie das LEF-Profil mit dem von ihm erfassten Datenverkehr verknüpft ist – ob es an eine bestimmte Funktion oder einen bestimmten Dienst, an eine Regel zur Datenverkehrsüberwachung, an die Konfiguration der Protokollierungssteuerung des Mandanten gebunden ist oder als Standard festgelegt wurde.

LEF & Versa

Die LEF wird pro VOS-Gerät unter „Objekte & Konnektoren“ > „Konnektoren“ > „Berichterstellung“ > „Protokoll-Exportfunktion“ in Director konfiguriert. Die Konfiguration der Protokoll-Exportfunktion umfasst den Aufbau der Kette aus Vorlage, Collector und Profil von Anfang bis Ende; die Anwendung der Protokoll-Exportfunktion ist die begleitende Referenz für die Einbindung eines LEF-Profils in einzelne Funktionen – Firewall, DLP, DNS-Filterung, ATP, CGNAT und Dutzende weitere.

Nicht jeder Protokolltyp lässt sich überall exportieren: Daten aus dem Digital Experience Monitoring können beispielsweise nur an Analytics-Knoten gesendet werden, niemals an Syslog- oder NetFlow-Systeme von Drittanbietern, da ihr Format proprietär ist. Wenn LEF-Verbindungen nicht ordnungsgemäß funktionieren, führt der Leitfaden „Fehlerbehebung bei Problemen mit der Protokonexportfunktion“ Schritt für Schritt durch die Überprüfung der Konfiguration, die Kontrolle der Exportstatistiken und die Verfolgung der Verbindung vom Gerät zum Analytics-Knoten, häufig über einen Application Delivery Controller.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem LEF-Profil und einem LEF-Kollektor?

Ein Collector definiert ein Ziel – IP-Adresse oder FQDN, Port und Transportprotokoll – sowie die Art und Weise, wie Protokolle dort in die Warteschlange gestellt werden. Ein LEF-Profil verknüpft eine Vorlage mit einem Collector und wird auf eine Funktion, eine Richtlinie oder einen Mandanten angewendet; der Collector allein führt keine Aktionen aus, bis ein Profil auf ihn verweist.

Kann LEF Protokolle auch ohne Analytics-Cluster exportieren?

Ja. LEF kann Protokolle im Syslog-Format direkt an einen Syslog-Server eines Drittanbieters oder Flow-Protokolle im IPFIX-Format an einen NetFlow-Kollektor wie beispielsweise SolarWinds senden – und zwar völlig unabhängig von „ Versa Analytics“. „Analytics“ ist lediglich eine von mehreren Zielarten und keine Voraussetzung.

Was passiert mit den Protokollen, wenn eine LEF-Verbindung unterbrochen wird?

Das VOS-Gerät ordnet sie nach Priorität – hoch, mittel, niedrig – für ein konfigurierbares Halteintervall in eine Warteschlange ein und verwirft sie anschließend, wenn die Verbindung nicht wiederhergestellt wurde. Protokolle mit hoher Priorität, wie beispielsweise Alarme, erhalten standardmäßig ein längeres Halteintervall als Verkehrsprotokolle mit niedriger Priorität.

Warum benötigt jeder Mieter ein eigenes LEF-Profil?

Durch die Mandantenfähigkeit werden die Konfigurationen durchgängig voneinander isoliert: Jeder Mandant auf einem VOS-Gerät verfügt über einen eigenen, vollständig getrennten Satz an LEF-Vorlagen, Kollektoren, Kollektorgruppen und Profilen, sodass sich die Protokollströme oder Exportziele einer Organisation niemals mit denen eines benachbarten Mandanten vermischen.

Wie kann ich feststellen, ob LEF tatsächlich Protokolle exportiert?

Rufen Sie die LEF-Exportstatistiken über die Befehlszeilenschnittstelle des VOS-Geräts auf, warten Sie einige Minuten und führen Sie den Befehl erneut aus – steigende Zählwerte pro Protokollkategorie bestätigen einen aktiven Export. Ein stehengebliebener Zähler deutet in der Regel eher auf eine fehlerhafte Konfiguration als auf eine unterbrochene Verbindung hin.

Weitere Informationen zur Protokoll-Exportfunktion

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über LEF informieren, sollten Sie sich als Nächstes diese Artikel ansehen.