Syslogとは何ですか？

Syslogは、ネットワークデバイス、サーバー、およびアプリケーションから、それぞれ「ファシリティ」と「重大度レベル」のタグが付与されたログやアラームメッセージを、一元化された収集サーバーへ転送するための標準プロトコルおよびメッセージ形式です。RFC 5424で定義されており、管理者は多くのソースからのログを一か所に集約して、監視、トラブルシューティング、およびコンプライアンス対応を行うことができます。

主なポイント

• Syslogでは、すべてのメッセージにファシリティと重大度レベルがタグ付けされます。
• RFC 5424 では、現代的な構造化された syslog メッセージ形式が定義されています。
• UDPポート514は従来から使われているもので、TCPやTLSは信頼性と暗号化機能を提供します。
• VOSデバイスおよびVersa Analyticsは、ログとアラームをsyslog形式でエクスポートします。
• syslog互換のコレクターやSIEMであれば、Versa のログエクスポートを受信できます。

このページの内容： その重要性 ・ 仕組み ・ 種類 · Syslog およびVersa · よくある質問

syslogはなぜ重要なのでしょうか？

Syslogは、ネットワーク分野において、汎用的なロギング言語に最も近い存在です。異なるベンダーのルーター、スイッチ、ファイアウォール、サーバー、アプリケーションが、送信元ごとに独自のパーサーを用意することなく、単一のコレクターが理解できるSyslogメッセージを送信できます。この相互運用性こそが、大規模な集中型ログ管理を可能にしているのです。

運用面においてこれが重要なのは、トラブルシューティングのほとんどがログから始まるためです。インターフェースの不安定な動作、証明書の有効期限切れ、設定のロールバックなどは、いずれもまずsyslogイベントとして表面化し、多くの場合、ユーザーが問題を報告するよりも先に検出されます。また、セキュリティやコンプライアンスの観点からも重要です。SIEMプラットフォームはsyslogフィードを相関分析して侵入を検知し、規制の枠組みでは、syslogの転送によって実現される、改ざん防止機能を備えた一元的な保存がしばしば求められます。

syslogとは何ですか？

syslogメッセージには、ファシリティ（カーネル、メール、ローカルで定義されたアプリケーションなど、大まかな送信元を識別するコード）と、0（緊急）から7（デバッグ）までの整数で表される重大度レベルが含まれます。ファシリティと重大度レベルを組み合わせることで、受信側はメッセージをフィルタリングしてルーティングすることができます。たとえば、重大なアラートは特定の宛先に、日常的なイベントは別の宛先に送信されます。

メッセージ自体には、ヘッダー（タイムスタンプ、ホスト名、アプリケーションタグ）と、自由形式または構造化された本文が含まれます。 現在のIETF標準であるRFC 5424では、構造化されたデータフィールドと、より厳格なタイムスタンプ形式が規定されています。syslog送信者は、通常UDPを介してメッセージを受信者（syslogサーバーまたはコレクター）に送信します。受信者は、メッセージを保存、表示、または転送（多くの場合、SIEMへ）します。

syslogの種類

Syslogメッセージはいくつかのトランスポートプロトコルを介して送信されますが、その選択は重要です。ポート514のUDPは従来のデフォルト設定であり、軽量で接続不要ですが、輻輳時にはメッセージが黙って破棄される可能性があります。一方、TCPはその簡便性を犠牲にして信頼性を確保します。つまり、送信者は受信者がメッセージを受信したかどうかを確認できます。TLSで保護されたSyslog（RFC 5425）は、TCPの上に暗号化と認証の層を重ねることで、機密性の高い運用詳細を含むことが多いログの内容を保護します。

メッセージ形式には2つの世代があります。従来のBSD syslog形式（RFC 3164）は、仕様が緩く、人間が読みやすい行単位の形式であり、互換性を確保するため、多くのデバイスが依然としてこの形式でメッセージを出力しています。一方、IETFの構造化形式（RFC 5424）では、バージョン管理されたヘッダーと構造化されたデータ要素が追加されており、プログラムによるメッセージの解析が容易になっています。

Syslog &Versa

VOSデバイスは、syslog形式のログおよびアラームデータを生成します。各データには、ログの種類を示すsyslog識別子がタグとして付加されています。例えば、 alarmLog アラームや accessLog ファイアウォールのアクセスログについては――以下にまとめられているとおり Analytics Log Collector のログタイプ概要. A ログエクスポート機能（LEF）プロファイル これらのログの送信先（Versa のAnalyticsクラスター、サードパーティ製のsyslogサーバー、またはNetFlowコレクター）を指定します。一度に最大2つの送信先をアクティブに設定できます。Analytics宛てのログには追加のIPFIXオーバーヘッドが発生します。外部受信者へ転送されるログは、UDPまたはTCPポート514を介して標準のsyslogフレーム形式で送信されます。

アラームも同様の経路をたどります。「VOSデバイスのアラーム設定」で説明されているように、各VOSアラームタイプには設定可能なデフォルトの送信先セット（通常はAnalytics、SNMP、syslogの組み合わせ）があり、Versa Directorは、Analyticsログコレクターのエクスポートプロセスからsyslog形式のチャネルを介して送信されるアラームストリームを受信します。syslogはアラーム、フローログ、イベントログの基盤となっているため、これにより、サードパーティ製のSIEMが、Versa 専用の統合機能なしに、Versaの運用データを取り込むことが可能になります。

よくある質問

syslogのファシリティとセヴェリティの違いは何ですか？

「Facility」は、メッセージの一般的な発生元（カーネル、アプリケーション、またはローカルで定義されたプロセス）を特定するものであり、「Severity」は、緊急度（Emergency（0）からDebug（7）まで）を示します。受信側は通常、これら2つのフィールドを組み合わせてメッセージをフィルタリングおよびルーティングするため、重大なアラートと日常的なノイズはそれぞれ異なる場所に振り分けられます。

syslog はどのポートを使用しますか？

Syslogでは従来、オーバーヘッドが小さく、接続不要という簡潔さから、UDPポート514が使用されてきました。多くの最新の実装では、信頼性の高い確認応答付き配信のために、ポート514でのTCPやカスタムポートもサポートしているほか、機密性の高いログ内容を暗号化して転送するためのTLSで保護されたSyslog（RFC 5425）もサポートしています。

BSDのsyslogとRFC 5424のsyslogの違いは何ですか？

BSD syslog（RFC 3164）は、仕様が曖昧で人間が読みやすい形式の古い規格であり、レガシーなコレクタとの下位互換性を確保するため、今でも多くのデバイスでこの形式が使用されています。RFC 5424は現在のIETF標準であり、バージョン情報を含むヘッダー、構造化されたデータフィールド、および正確なタイムスタンプが追加されており、プログラムによる解析がはるかに容易になっています。

Versa はsyslogをどのように利用しているのでしょうか？

VOSデバイスは、ログやアラームにsyslog識別子を付与し、LEFプロファイルを通じて、Versa Analyticsクラスター、サードパーティ製のsyslogサーバー、またはNetFlowコレクターにエクスポートします。また、Versa Directorは、Analyticsのログコレクターのエクスポートプロセスから、syslog形式のTCPまたはUDPチャネルを介してアラームストリームを受信します。

syslogはデフォルトで安全ですか？

いいえ。従来のUDP syslogは、配信保証のない平文でメッセージを送信するため、メッセージが紛失したり傍受されたりする可能性があります。これを保護するには、TLSベースのsyslog転送を採用するか、ログトラフィックを保護された管理ネットワーク内に制限する必要があります。いずれも、機密性の高い環境では一般的な対策です。

syslogに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

syslogについて読んでいるなら、次はこれらもチェックしてみる価値があります。