Qu'est-ce que Syslog ?

Syslog est un protocole et un format de message standard permettant de transférer des messages de journalisation et d'alerte – chacun étant associé à une catégorie et à un niveau de gravité – depuis des périphériques réseau, des serveurs et des applications vers un collecteur centralisé. Défini dans la RFC 5424, il permet aux administrateurs de regrouper les journaux provenant de nombreuses sources en un seul et même endroit à des fins de surveillance, de dépannage et de conformité.

Points clés à retenir

• Syslog attribue à chaque message une « facility » et un niveau de gravité.
• La RFC 5424 définit le format moderne et structuré des messages syslog.
• Le port UDP 514 est le port traditionnel ; les protocoles TCP et TLS apportent fiabilité et chiffrement.
• Les appareils VOS et Versa Analytics exportent les journaux et les alarmes au format syslog.
• Tout collecteur compatible avec syslog ou toute solution SIEM peut recevoir des exportations de journaux d'Versa .

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Syslog et Versa · FAQ

Pourquoi le syslog est-il important ?

Syslog est ce qui se rapproche le plus, dans le domaine des réseaux, d’un langage universel de journalisation. Les routeurs, commutateurs, pare-feu, serveurs et applications de différents fournisseurs peuvent tous émettre des messages Syslog qu’un collecteur unique est capable d’interpréter, sans qu’il soit nécessaire de disposer d’un analyseur syntaxique spécifique pour chaque source. C’est cette interopérabilité qui rend possible la gestion centralisée des journaux à grande échelle.

Cela revêt une importance opérationnelle, car la plupart des opérations de dépannage commencent par l'analyse des journaux : une interface instable, un certificat arrivant à expiration, une configuration rétablie à son état antérieur… Tous ces problèmes apparaissent d'abord sous forme d'événements syslog, souvent avant même qu'un utilisateur ne signale un problème. Cela revêt également une importance en matière de sécurité et de conformité : les plateformes SIEM établissent des corrélations entre les flux syslog pour détecter les intrusions, et les cadres réglementaires exigent souvent une conservation centralisée et inviolable, que le transfert des journaux syslog rend possible.

Qu'est-ce que syslog ?

Un message syslog comporte une « facility » (facilité) – un code identifiant la source générale, telle que le noyau, la messagerie ou une application définie localement – et un niveau de gravité, un nombre entier compris entre 0 (Urgence) et 7 (Débogage). Ensemble, la « facility » et le niveau de gravité permettent au destinataire de filtrer et d'acheminer les messages : les alertes critiques vers une destination, les événements courants vers une autre.

Le message lui-même comporte un en-tête (horodatage, nom d’hôte, balise d’application) et un corps au format libre ou structuré. La norme RFC 5424, qui est actuellement la norme de l'IETF, a formalisé les champs de données structurés et imposé un format d'horodatage plus strict. Un émetteur syslog transmet des messages, généralement via UDP, à un récepteur (un serveur ou un collecteur syslog) qui les stocke, les affiche ou les transfère, souvent vers un SIEM.

Types de syslog

Les messages Syslog transitent par plusieurs protocoles de transport, et ce choix a son importance. Le protocole UDP sur le port 514 est la valeur par défaut traditionnelle : léger et sans connexion, mais les messages peuvent être perdus sans avertissement en cas de congestion. Le protocole TCP privilégie la fiabilité au détriment de cette simplicité : l’expéditeur sait si le destinataire a bien reçu le message. Le Syslog sécurisé par TLS (RFC 5425) ajoute un niveau de chiffrement et d’authentification au protocole TCP, protégeant ainsi le contenu des journaux qui contient souvent des détails opérationnels sensibles.

Il existe deux générations de formats de messages. L'ancien format syslog BSD (RFC 3164) est un format peu structuré, lisible par l'homme, que de nombreux périphériques continuent d'utiliser pour des raisons de compatibilité. Le format structuré de l'IETF (RFC 5424) ajoute un en-tête versionné et des éléments de données structurés, ce qui facilite l'analyse des messages par des programmes.

Syslog & Versa

Les appareils VOS génèrent des données de journalisation et d'alerte au format syslog, chacune étant associée à un identifiant syslog qui indique le type de journal – par exemple, alarmLog pour les alarmes ou accessLog pour les journaux d'accès au pare-feu – tels que répertoriés dans Présentation des types de journaux du collecteur de journaux d'analyse. A Profil de la fonctionnalité d'exportation des journaux (LEF) détermine la destination de ces journaux : un cluster Analytics d’ Versa , un serveur syslog tiers ou un collecteur NetFlow, avec jusqu’à deux destinations actives à la fois. Les journaux destinés à Analytics impliquent une surcharge IPFIX supplémentaire ; les journaux transmis à des destinataires externes utilisent le formatage syslog standard via le port UDP ou TCP 514.

Les alarmes suivent le même chemin. Comme décrit dans la section « Configurer les alarmes des périphériques VOS », chaque type d’alerte VOS dispose d’un ensemble de destinations par défaut configurables (généralement Analytics, SNMP et syslog combinés) et l’ Versa Director écoute les flux d’alertes via un canal au format syslog provenant du processus d’exportation du collecteur de journaux Analytics. Le format syslog étant à la base des alarmes, des journaux de flux et des journaux d’événements, il permet à une solution SIEM tierce d’ingérer les données opérationnelles d’ Versasans avoir besoin d’une intégration spécifique à l’ Versa.

Questions fréquentes

Quelle est la différence entre la fonction « syslog » et le niveau de gravité ?

Le champ « Facility » identifie la source générale d'un message (noyau, application ou processus défini localement), tandis que le champ « Severity » indique son niveau d'urgence, allant de « Emergency » (0) à « Debug » (7). Les destinataires filtrent et acheminent généralement les messages en combinant ces deux champs, de sorte que les alertes critiques et le bruit de fond soient acheminés vers des destinations différentes.

Quel port utilise syslog ?

Le protocole Syslog utilise traditionnellement le port UDP 514, choisi pour sa faible surcharge et sa simplicité liée à l'absence de connexion. De nombreuses implémentations modernes prennent également en charge le protocole TCP sur le port 514 ou un port personnalisé pour une transmission fiable avec accusé de réception, ainsi que le protocole Syslog sécurisé par TLS (RFC 5425) pour le transport chiffré des contenus de journaux sensibles.

Quelle est la différence entre le syslog BSD et le syslog RFC 5424 ?

Le format syslog BSD (RFC 3164) est un format plus ancien, peu structuré et lisible par l'homme, que de nombreux périphériques continuent d'utiliser pour assurer la rétrocompatibilité avec les collecteurs hérités. La RFC 5424 est la norme IETF actuelle ; elle intègre un en-tête versionné, des champs de données structurés et des horodatages précis, qui sont bien plus faciles à analyser par programmation.

Comment « Versa » utilise-t-il syslog ?

Les appareils VOS associent des identifiants syslog aux journaux et aux alarmes, puis les exportent, via des profils LEF, vers un cluster Analytics d’ Versa , un serveur syslog tiers ou un collecteur NetFlow. Versa Director reçoit également des flux d’alarmes via un canal TCP ou UDP au format syslog provenant du processus d’exportation du collecteur de journaux Analytics.

Le syslog est-il sécurisé par défaut ?

Non. Le protocole syslog UDP traditionnel envoie les messages en texte clair sans garantie de livraison ; ceux-ci peuvent donc être perdus ou interceptés. Pour le sécuriser, il faut soit utiliser un transport syslog basé sur TLS, soit limiter le trafic de journaux à un réseau de gestion protégé, deux pratiques courantes dans les environnements sensibles.

En savoir plus sur syslog

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au syslog, voici quelques liens qui pourraient vous intéresser.