Syslog : Gestion Avancée des Logs Système

Introduction

Dans ce cours, nous allons parler de Syslog, qui est une fonction incorporée de base dans les IOS Cisco.

Syslog est bien plus qu'une simple fonctionnalité présente dans les systèmes d'exploitation IOS de Cisco ; c'est un pilier central de la gestion des réseaux informatiques.

En effet, il offre une infrastructure robuste pour la surveillance, la journalisation et l'analyse des événements système. Que ce soit pour diagnostiquer des problèmes, surveiller la sécurité du réseau ou simplement assurer le bon fonctionnement des périphériques est indispensable.

Ces types de messages sont très utiles, car ils sont affichés par défaut sur la console, lorsqu’on est connecté dessus !

Et pour ne manquer aucun message, il est même possible de les exporter vers un serveur Syslog !

Vous remarquerez que ces messages possèdent un |horodatage !

C’est pourquoi il faut bien s’assurer que l’ensemble de nos équipements soit bien à l’heure !

Son fonctionnement

Lorsqu'un événement système se produit sur un périphérique Cisco, tel qu'un commutateur ou un routeur, Syslog capture ces événements et les envoie à un ou plusieurs récepteurs Syslog. Ces événements peuvent être de divers types, allant des simples notifications aux alertes critiques. Il utilise un système de niveaux de gravité pour classer ces événements, permettant ainsi une hiérarchisation efficace de leur importance.

On sait configurer la date avec |la commande IOS « Clock set », mais il est préférable d’utiliser un |serveur NTP pour être sûr que l’ensemble de nos périphériques soit à la même heure !

Sa configuration

La configuration de Syslog sur les périphériques Cisco est relativement simple, mais offre une grande flexibilité. Il est possible de spécifier les niveaux de gravité des événements à journaliser, les destinations des logs (console, mémoire tampon, serveur Syslog distant, etc.), et même le format des messages Syslog (avec ou sans horodatage, avec ou sans numéro de séquence, etc.).

La commande « ntp server » permet de configurer un serveur NTP. Ici, on utilise celui de ntp.org !

Au lieu d’un horodatage, on peut utiliser des numéros de séquence, |pour cela, il faut désactiver l’horodatage et activer le service des numéros de séquences !

Gestion de l'Horodatage

L'horodatage des événements Syslog est crucial pour l'analyse et la corrélation des événements. Cisco IOS offre la possibilité de configurer l'heure du système manuellement à l'aide de la commande "clock set", mais il est fortement recommandé d'utiliser un serveur NTP (Network Time Protocol) pour garantir une synchronisation précise de l'heure sur l'ensemble du réseau.

|Voilà le même message d’erreur de l’interface 0/1, mais cette fois avec un numéro de séquences !

Utilisation des Numéros de Séquence

En plus de l'horodatage, il peut également utiliser des numéros de séquence pour identifier les événements de manière unique. Cela peut être particulièrement utile dans les environnements à haute fréquence d'événements où les horodatages peuvent ne pas être suffisamment précis pour distinguer les événements.

|Dans les logs, il existe différents niveaux de gravité.

Ça va du niveau 0 à 7, du plus au moins critique.

Personnalisation de l'Affichage des Logs

Syslog offre une flexibilité considérable en termes de personnalisation de l'affichage des logs. La commande "logging console" permet de spécifier les niveaux de gravité des événements à afficher sur la console, garantissant ainsi que seuls les événements pertinents sont affichés à l'opérateur réseau.

Par défaut, dans la CLI, on voit l’ensemble de ces messages.

Si par exemple, on veut que seuls les logs à partir d’état « Erreurs » s’affichent, alors, on utilisera la commande | « logging console errors ».

Externalisation des Logs

Pour une gestion efficace des logs, il est recommandé d'externaliser les logs vers un serveur distant. Cela permet non seulement de libérer de l'espace mémoire sur les périphériques Cisco, mais aussi de centraliser la journalisation des événements, facilitant ainsi l'analyse et la gestion des logs.

Et la console affichera uniquement le niveau de gravité « 3 » et inférieur.

C’est-à-dire qu’elle affichera aussi |les logs critiques ; Alertes et Urgence !

La commande | « show logging history » permet de voir l’historique des logs d’un équipement !

Gestion de l'Histoire des Logs

Bien que les périphériques Cisco puissent stocker un certain nombre d'événements dans leur mémoire tampon, il est important de noter que cette mémoire est limitée et que les événements peuvent être perdus en cas de redémarrage du périphérique. Pour une conservation à long terme des logs, il est recommandé d'utiliser un serveur distant ou un système de gestion des logs (SIEM).

Par contre, il ne stocke pas tous les logs, car ils sont enregistrés dans la mémoire vive de l’appareil.

Et de plus, si on le redémarre, eh bien, on perd toute l’historique du journal !

C’est pourquoi le mieux est comme même d’utiliser un serveur externe pour stocker ces logs !

Pour ça, rien de plus simple, il suffit de lancer la commande | « logging » + l’IP du serveur qui stockera les logs !

Sécurité des Logs Syslog

Étant donné que les logs Syslog contiennent souvent des informations sensibles sur l'état et le fonctionnement du réseau, il est crucial de garantir leur sécurité. Cela inclut des mesures telles que le chiffrement des logs lors de leur transmission vers un serveur distant, l'authentification des périphériques clients Syslog, et la mise en place de politiques de sécurité strictes pour l'accès aux logs.

Par défaut, la commande « logging » n’inclut pas les logs de débogage. Si on veut les récupérer sur le serveur externe, alors il faudra faire un | « logging trap 7 ».

Intégration avec d'autres Outils de Gestion

Il peut être intégré à d'autres outils de gestion des événements et des logs, tels que les systèmes de gestion des informations et des événements de sécurité (SIEM) et les outils d'analyse des logs. Cette intégration permet une corrélation avancée des événements, une détection proactive des menaces et une réponse rapide aux incidents de sécurité.

Conclusion

En résumé, il est bien plus qu'un simple outil de journalisation des événements système ; c'est une composante essentielle de la gestion des réseaux informatiques modernes. Grâce à sa flexibilité, sa fiabilité et sa capacité d'intégration, il permet aux administrateurs réseau de surveiller, diagnostiquer et sécuriser efficacement leurs infrastructures réseau. En comprenant et en maîtrisant les concepts fondamentaux de Syslog, les administrateurs peuvent tirer pleinement parti de cette puissante fonctionnalité pour garantir le bon fonctionnement de leur réseau.

Retrouvez tous nos cours pour réussir votre CCNA sur la chaîne YouTube de Formip.