Was ist Syslog?

Syslog ist ein Standardprotokoll und -nachrichtenformat zur Weiterleitung von Protokoll- und Alarmmeldungen – die jeweils mit einer Facility und einer Schweregradstufe gekennzeichnet sind – von Netzwerkgeräten, Servern und Anwendungen an einen zentralen Sammler. Es ist in RFC 5424 definiert und ermöglicht es Administratoren, Protokolle aus vielen Quellen an einem Ort zu bündeln, um die Überwachung, Fehlerbehebung und Einhaltung von Vorschriften zu gewährleisten.

Die wichtigsten Erkenntnisse

• Syslog versieht jede Meldung mit einer Facility und einer Schweregradstufe.
• RFC 5424 definiert das moderne, strukturierte Syslog-Meldungsformat.
• Der UDP-Port 514 ist der klassische Port; TCP und TLS sorgen für Zuverlässigkeit und Verschlüsselung.
• VOS-Geräte und „ Versa Analytics“ exportieren Protokolle und Alarme im Syslog-Format.
• Jeder syslog-kompatible Collector oder jede SIEM-Lösung kann „ Versa “-Protokollexporte empfangen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Syslog & Versa · Häufig gestellte Fragen

Warum ist Syslog wichtig?

Syslog kommt einer universellen Protokollierungssprache im Netzwerkbereich am nächsten. Router, Switches, Firewalls, Server und Anwendungen verschiedener Hersteller können Syslog-Meldungen ausgeben, die von einem einzigen Sammler verstanden werden, ohne dass für jede Quelle ein eigener Parser erforderlich ist. Diese Interoperabilität ermöglicht ein zentralisiertes Protokollmanagement in großem Maßstab.

Aus betrieblicher Sicht ist dies von Bedeutung, da die meisten Fehlerbehebungen mit Protokollen beginnen: Eine schwankende Schnittstelle, ein ablaufendes Zertifikat oder ein Konfigurations-Rollback treten zunächst als Syslog-Ereignisse auf, oft noch bevor ein Benutzer ein Problem meldet. Auch für Sicherheit und Compliance ist dies von Bedeutung – SIEM-Plattformen korrelieren Syslog-Feeds, um Eindringversuche zu erkennen, und regulatorische Rahmenbedingungen verlangen häufig eine zentralisierte, manipulationssichere Aufbewahrung, die durch die Syslog-Weiterleitung praktikabel wird.

Was ist Syslog?

Eine Syslog-Meldung enthält eine „Facility“ – einen Code, der die allgemeine Quelle angibt, wie beispielsweise „Kernel“, „Mail“ oder eine lokal definierte Anwendung – sowie eine Schweregradstufe, eine ganze Zahl von 0 (Notfall) bis 7 (Debug). Zusammen ermöglichen die Facility und der Schweregrad dem Empfänger, Meldungen zu filtern und weiterzuleiten: kritische Warnmeldungen an ein Ziel, Routineereignisse an ein anderes.

Die Nachricht selbst besteht aus einem Header (Zeitstempel, Hostname, Anwendungs-Tag) und einem frei formatierten oder strukturierten Hauptteil. RFC 5424, der aktuelle IETF-Standard, hat strukturierte Datenfelder und ein strengeres Zeitstempelformat festgelegt. Ein Syslog-Absender überträgt Meldungen, in der Regel über UDP, an einen Empfänger – einen Syslog-Server oder -Kollektor –, der diese speichert, anzeigt oder weiterleitet, häufig an ein SIEM.

Arten von Syslog

Syslog-Meldungen werden über verschiedene Transportprotokolle übertragen, und die Wahl des Protokolls ist entscheidend. UDP auf Port 514 ist die traditionelle Standardwahl: schlank und verbindungslos, doch bei Überlastung können Meldungen unbemerkt verloren gehen. TCP tauscht diese Einfachheit gegen Zuverlässigkeit ein – der Absender weiß, ob der Empfänger die Meldung erhalten hat. Das TLS-gesicherte Syslog (RFC 5425) fügt TCP Verschlüsselung und Authentifizierung hinzu und schützt so den Inhalt der Protokolle, der oft sensible betriebliche Details enthält.

Es gibt zwei Generationen von Nachrichtenformaten. Das veraltete BSD-Syslog-Format (RFC 3164) ist ein nur grob spezifiziertes, für Menschen lesbares Zeilenformat, das viele Geräte aus Kompatibilitätsgründen nach wie vor verwenden. Das strukturierte IETF-Format (RFC 5424) verfügt zusätzlich über einen versionierten Header und strukturierte Datenelemente, wodurch sich die Nachrichten programmgesteuert leichter auswerten lassen.

Syslog & Versa

VOS-Geräte erzeugen Protokoll- und Alarmdaten im Syslog-Format, die jeweils mit einer Syslog-Kennung versehen sind, die den Protokolltyp angibt – zum Beispiel, alarmLog für Alarme oder accessLog für Firewall-Zugriffsprotokolle – wie in Übersicht über die Protokolltypen des Analytics-Protokollsammlers. A Profil der Protokoll-Exportfunktion (LEF) Legt fest, wohin diese Protokolle gesendet werden: an einen „ Versa “-Analytics-Cluster, einen Syslog-Server eines Drittanbieters oder einen NetFlow-Kollektor, wobei jeweils bis zu zwei Ziele gleichzeitig aktiv sein können. Protokolle, die für Analytics bestimmt sind, weisen zusätzlichen IPFIX-Overhead auf; Protokolle, die an externe Empfänger weitergeleitet werden, verwenden Standard-Syslog-Framing über UDP oder TCP-Port 514.

Alarme folgen demselben Weg. Wie unter „VOS-Gerätealarme konfigurieren“ beschrieben, verfügt jeder VOS-Alarmtyp über eine konfigurierbare Standardzielgruppe – in der Regel eine Kombination aus Analytics, SNMP und Syslog – und „ Versa Director“ überwacht Alarmströme über einen im Syslog-Format ausgegebenen Kanal, der vom Exportprozess des Analytics-Protokollsammlers bereitgestellt wird. Da Syslog sowohl Alarmen als auch Flow-Protokollen und Ereignisprotokollen zugrunde liegt, ermöglicht es einem SIEM-System eines Drittanbieters, die Betriebsdaten von „ Versa“ ohne eine „ Versa “-spezifische Integration zu erfassen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen der Syslog-Facility und dem Schweregrad?

Die Kategorie gibt die allgemeine Quelle einer Meldung an – Kernel, Anwendung oder ein lokal definierter Prozess –, während der Schweregrad angibt, wie dringend sie ist, von „Emergency“ (0) bis hinunter zu „Debug“ (7). Empfänger filtern und leiten Meldungen in der Regel anhand beider Felder gemeinsam weiter, sodass kritische Warnmeldungen und Routinemeldungen an unterschiedlichen Orten landen.

Welchen Port verwendet Syslog?

Syslog nutzt traditionell den UDP-Port 514, der aufgrund seines geringen Overheads und seiner Einfachheit als verbindungsloses Protokoll gewählt wurde. Viele moderne Implementierungen unterstützen zudem TCP auf Port 514 oder einen benutzerdefinierten Port für eine zuverlässige, mit Bestätigungen versehene Übertragung sowie TLS-gesichertes Syslog (RFC 5425) für den verschlüsselten Transport sensibler Protokollinhalte.

Was ist der Unterschied zwischen BSD-Syslog und RFC 5424-Syslog?

BSD-Syslog (RFC 3164) ist ein älteres, nur grob spezifiziertes, für Menschen lesbares Format, das viele Geräte aus Gründen der Abwärtskompatibilität mit älteren Erfassungssystemen nach wie vor verwenden. RFC 5424 ist der aktuelle IETF-Standard, der einen versionierten Header, strukturierte Datenfelder und präzise Zeitstempel enthält, die sich programmgesteuert wesentlich einfacher auswerten lassen.

Wie nutzt „ Versa “ Syslog?

VOS-Geräte versehen Protokolle und Alarme mit Syslog-Identifikatoren und exportieren sie über LEF-Profile an einen „ Versa “-Analytics-Cluster, einen Syslog-Server eines Drittanbieters oder einen NetFlow-Kollektor. „ Versa Director“ empfängt zudem Alarmströme über einen im Syslog-Format gestalteten TCP- oder UDP-Kanal vom Exportprozess des Analytics-Protokollsammlers.

Ist Syslog standardmäßig sicher?

Nein. Das herkömmliche UDP-Syslog versendet Meldungen im Klartext ohne Zustellungsgarantie, sodass Meldungen verloren gehen oder abgefangen werden können. Um dies abzusichern, ist entweder ein TLS-basierter Syslog-Transport erforderlich oder die Beschränkung des Protokollverkehrs auf ein geschütztes Verwaltungsnetzwerk – beides gängige Vorgehensweisen in sensiblen Umgebungen.

Mehr zu syslog

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Syslog beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.