Syslog – Grundlagen

Syslog ist ein standardisiertes Protokoll zur zentralen Sammlung und Verwaltung von Logdaten. Es wird von fast allen Netzwerkgeräten, Linux-Servern, Firewalls, Routern und vielen Anwendungen unterstützt.

Ziel:

• Ereignisse zentral speichern
• schneller analysieren
• Fehler finden
• Security-Vorfälle erkennen

• Logs aus vielen Geräten an einem Ort gesammelt
• Erleichtert Fehlersuche und Monitoring
• Grundlage für SIEM- und Security-Analysen
• Zeitstempel & Prioritäten normiert
• Entlastet lokale Systeme

Syslog kann drei Hauptvarianten nutzen:

In Unternehmensnetzen:
Gerne TCP oder TLS statt UDP, wegen Integrität.

Ein klassischer Syslog-Eintrag besteht aus:

<facility.priority> timestamp hostname application: message

Beispiel:

 <134>Jan 12 14:22:03 router1 DHCP: Assigned IP 192.168.10.25 to A4:5E:60:3B:7D:12

Bestandteile:

• Facility → Kategorie (z. B. auth, daemon, kern)
• Severity → Schweregrad (0–7)
• Hostname
• Programm/Service
• Nachricht selbst

Beispiele:

ASCII-Übersicht:

         +----------------------+
         |   Syslog-Server      |
         |  (z. B. rsyslog)     |
         +----------+-----------+
                    ^
                    |
      +-------------+--------------+
      |             |              |
 [ Switches ]   [ Firewalls ]   [ Server ]
      |             |              |
      +----------------------------------→ Logdaten

Alle Systeme schicken ihre Logs an einen zentralen Server.

Bekannte Implementierungen:

• rsyslog (Standard)
• syslog-ng
• journald (systemd-intern, kann weiterleiten)

Konfigurationsbeispiel (rsyslog):

 *.*   @@192.168.10.50:514

Bedeutung:

• @ = UDP
• @@ = TCP

Netzwerk → Logging → Syslog:

• Server-IP eintragen
• Port 514 TCP oder 6514 TLS
• Logtypen auswählen
• Zertifikate laden (für TLS)

logging host 192.168.10.50
logging trap informational
logging facility local7

Docker kann Syslog direkt nutzen:

  docker run --log-driver=syslog --log-opt syslog-address=tcp://192.168.10.50:514 ...

Viele Admins zentralisieren:

• Suricata-Logs
• CrowdSec-Events
• Firewalld/iptables
• Auth-Logs

• UDP kann gefälscht werden → besser TCP/TLS
• Logserver muss abgesichert sein
• Logdaten können sensible Informationen enthalten
• Rotation nötig (z. B. logrotate)
• Uhren müssen per NTP synchron sein

Syslog ist die Datenbasis für SIEM-Lösungen wie:

• Splunk
• Graylog
• ELK Stack (Elasticsearch, Logstash, Kibana)
• Wazuh
• CrowdSec + Loki
• Grafana

Unter Linux typisch:

 /var/log/
 /var/log/syslog
 /var/log/auth.log
 /var/log/kern.log

Rotation:

 /etc/logrotate.d/

• Syslog = Standard für Logübertragung
• Ports: 514 (UDP/TCP), 6514 (TLS)
• Severity Levels von 0–7
• zentrale Logserver vereinfachen Monitoring & Security
• in jeder professionellen Infrastruktur unverzichtbar
• Grundlage für SIEM- und Analysewerkzeuge