¿Qué es Syslog?

Syslog es un protocolo y un formato de mensaje estándar para reenviar mensajes de registro y de alarma —cada uno de ellos etiquetado con una categoría y un nivel de gravedad— desde dispositivos de red, servidores y aplicaciones a un colector centralizado. Definido en el RFC 5424, permite a los administradores agregar registros procedentes de numerosas fuentes en un único lugar con fines de supervisión, resolución de problemas y cumplimiento normativo.

Puntos clave

• Syslog etiqueta cada mensaje con una «facility» y un nivel de gravedad.
• La RFC 5424 define el formato moderno y estructurado de los mensajes syslog.
• El puerto UDP 514 es el habitual; TCP y TLS aportan fiabilidad y cifrado.
• Los dispositivos VOS y Versa Analytics exportan registros y alarmas en formato syslog.
• Cualquier colector compatible con syslog o cualquier sistema SIEM puede recibir exportaciones de registros de « Versa ».

En esta página: Por qué es importante · Cómo funciona · Tipos · Syslog y Versa · Preguntas frecuentes

¿Por qué es importante syslog?

Syslog es lo más parecido que existe en el ámbito de las redes a un lenguaje universal de registro. Los routers, switches, cortafuegos, servidores y aplicaciones de diferentes proveedores pueden emitir mensajes Syslog que un único colector es capaz de interpretar, sin necesidad de un analizador personalizado para cada fuente. Esa interoperabilidad es lo que hace posible la gestión centralizada de registros a gran escala.

Es importante desde el punto de vista operativo porque la mayor parte de la resolución de problemas comienza con los registros: una interfaz que se desconecta y se vuelve a conectar constantemente, un certificado que caduca o una configuración que se revierte aparecen primero como eventos de syslog, a menudo antes de que un usuario notifique un problema. También es importante para la seguridad y el cumplimiento normativo: las plataformas SIEM correlacionan las fuentes de syslog para detectar intrusiones, y los marcos normativos suelen exigir una conservación centralizada y a prueba de manipulaciones, algo que el reenvío de syslog hace posible.

¿Qué es syslog?

Un mensaje de syslog incluye una «facility» —un código que identifica la fuente general, como el núcleo, el correo o una aplicación definida localmente— y un nivel de gravedad, un número entero que va de 0 (Emergencia) a 7 (Depuración). Juntas, la «facility» y la gravedad permiten al destinatario filtrar y enrutar los mensajes: las alertas críticas a un destino y los eventos rutinarios a otro.

El mensaje en sí tiene un encabezado (marca de tiempo, nombre de host, etiqueta de aplicación) y un cuerpo de formato libre o estructurado. El RFC 5424, el estándar actual de la IETF, formalizó los campos de datos estructurados y un formato de marca de tiempo más estricto. Un emisor de syslog transmite mensajes, normalmente a través de UDP, a un receptor —un servidor o colector de syslog— que los almacena, muestra o reenvía, a menudo a un SIEM.

Tipos de syslog

Los mensajes Syslog se transmiten a través de varios protocolos de transporte, y la elección es importante. El UDP en el puerto 514 es el valor predeterminado tradicional: ligero y sin conexión, pero los mensajes pueden perderse silenciosamente en caso de congestión. El TCP cambia esa simplicidad por fiabilidad: el remitente sabe si el destinatario ha recibido el mensaje. El Syslog protegido por TLS (RFC 5425) añade capas de cifrado y autenticación sobre el TCP, protegiendo el contenido de los registros, que a menudo incluye detalles operativos confidenciales.

Existen dos generaciones de formatos de mensajes. El formato syslog heredado de BSD (RFC 3164) es una línea de texto legible para el usuario, con una especificación poco rigurosa, que muchos dispositivos siguen generando por motivos de compatibilidad. El formato estructurado de la IETF (RFC 5424) añade un encabezado con versión y elementos de datos estructurados, lo que facilita el análisis de los mensajes mediante programas.

Syslog y Versa

Los dispositivos VOS generan datos de registro y de alarma en formato syslog, cada uno de ellos etiquetado con un identificador syslog que indica el tipo de registro; por ejemplo, alarmLog para alarmas o accessLog para los registros de acceso del cortafuegos, tal y como se recogen en Descripción general de los tipos de registros del colector de registros de Analytics. A Perfil de la funcionalidad de exportación de registros (LEF) determina el destino de dichos registros: un clúster de Versa Analytics, un servidor syslog de terceros o un colector de NetFlow, con un máximo de dos destinos activos a la vez. Los registros destinados a Analytics conllevan una sobrecarga adicional de IPFIX; los registros reenviados a receptores externos utilizan el formato estándar de syslog a través del puerto UDP o TCP 514.

Las alarmas siguen el mismo proceso. Tal y como se describe en «Configurar las alarmas de los dispositivos VOS», cada tipo de alarma de VOS tiene un conjunto de destinos predeterminados configurables —normalmente Analytics, SNMP y syslog juntos— y un direct Versa , que escucha los flujos de alarmas a través de un canal con formato syslog procedente del proceso de exportación del recopilador de registros de Analytics. Dado que syslog es la base tanto de las alarmas como de los registros de flujo y de eventos, es lo que permite que un SIEM de terceros recopile los datos operativos de un dispositivo « Versa» sin necesidad de una integración específica para « Versa ».

Preguntas frecuentes

¿Cuál es la diferencia entre la categoría y el nivel de gravedad de syslog?

El campo «Facility» identifica el origen general de un mensaje —el núcleo, una aplicación o un proceso definido localmente—, mientras que el campo «Severity» indica su grado de urgencia, desde «Emergencia» (0) hasta «Depuración» (7). Los destinatarios suelen filtrar y enrutar los mensajes utilizando ambos campos conjuntamente, de modo que las alertas críticas y el ruido habitual se dirigen a destinos diferentes.

¿Qué puerto utiliza syslog?

Syslog utiliza tradicionalmente el puerto UDP 514, elegido por su baja sobrecarga y su simplicidad al tratarse de un protocolo sin conexión. Muchas implementaciones modernas también admiten el protocolo TCP en el puerto 514 o un puerto personalizado para garantizar una entrega fiable y con acuse de recibo, además de Syslog protegido por TLS (RFC 5425) para el transporte cifrado de contenidos de registro confidenciales.

¿Cuál es la diferencia entre el syslog de BSD y el syslog de la RFC 5424?

El syslog de BSD (RFC 3164) es un formato antiguo, con una especificación poco rigurosa y legible para el ser humano, que muchos dispositivos siguen utilizando para garantizar la compatibilidad con colectores heredados. La RFC 5424 es el estándar actual de la IETF, que incorpora un encabezado con versión, campos de datos estructurados y marcas de tiempo precisas que resultan mucho más fáciles de analizar mediante programación.

¿Cómo utiliza « Versa » el syslog?

Los dispositivos VOS etiquetan los registros y las alarmas con identificadores syslog y los exportan, a través de perfiles LEF, a un clúster de Versa Analytics, a un servidor syslog de terceros o a un colector NetFlow. Versa Director también recibe flujos de alarmas a través de un canal TCP o UDP con formato syslog desde el proceso de exportación del colector de registros de Analytics.

¿Es seguro syslog de forma predeterminada?

No. El syslog UDP tradicional envía mensajes en texto sin cifrar y sin garantía de entrega, por lo que los mensajes pueden perderse o ser interceptados. Para garantizar su seguridad, es necesario utilizar un transporte de syslog basado en TLS o restringir el tráfico de registros a una red de gestión protegida, ambas prácticas habituales en entornos sensibles.

Más información sobre syslog

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre syslog, te conviene echar un vistazo a lo siguiente.