长亭百川云 - 文章详情

【Splunk】使用syslog-ng和UF(HF)收集syslog日志(一)需求 & 逻辑图 & 配置关系图

安全实践

78

2024-07-13

在使用splunk直接接收syslog日志的时候,有很多问题,详细内容可以看参考资料部分。在采集syslog日志的时候,推荐采用syslog-ng & Splunk HF/UF的方式。

一、需求

这里使用syslog-ng作为syslog日志的集中收集服务器,需求如下:

1、日志存储时以路径作为区分,如

../Linux/

../Nginx/

../Firewall

这样在HF/UF采集的时候可以根据不同路径指定不同的index、sourcetype。

2、每个IP单独一个路径,如

../Linux/a.a.a.a/

../Linux/b.b.b.b/

这样在HF/UF采集的时候可以直接根据存放日志路径中IP的那个段作为splunk事件搜索中对应设备来源主机字段,如host_segment = 3(假如IP在路径中为/log/Linux/a.a.a.a/)。

3、日志以日期命名,如

../Linux/a.a.a.a/2017-10-23.log

../Linux/a.a.a.a/2017-10-24.log

这样是为了做日志清理方便。

二、逻辑图

以下是逻辑图:

三、配置关系图

以下是实际配置关系图:

(加入知识星球“企业Splunk实践”查看高清大图)

四、参考资料

High Performance syslogging for Splunk using syslog-ng

https://www.splunk.com/blog/2016/05/05/high-performance-syslogging-for-splunk-using-syslog-ng-part-1.html

https://www.splunk.com/blog/2016/05/05/high-performance-syslogging-for-splunk-using-syslog-ng-part-2.html

Using Syslog-ng with Splunk

https://www.splunk.com/blog/2016/03/11/using-syslog-ng-with-splunk.html

Syslog-ng在Splunk架构中的应用

http://www.10data.com/syslog-ng%e5%9c%a8splunk%e6%9e%b6%e6%9e%84%e4%b8%ad%e7%9a%84%e5%ba%94%e7%94%a8/

Installing latest syslog-ng on RHEL and other RPM distributions

https://www.balabit.com/blog/installing-latest-syslog-ng-on-rhel-and-other-rpm-distributions/?\_ga=2.19546936.1421917508.1507700806-530399638.1507700806

nginx日志配置:

http://nginx.org/en/docs/

http://nginx.org/en/docs/syslog.html

The syslog-ng Open Source Edition 3.12 Administrator Guide

https://www.balabit.com/documents/syslog-ng-ose-latest-guides/en/syslog-ng-ose-guide-admin/html/

rsyslog 8.30.0 documentation

http://www.rsyslog.com/doc/v8-stable/index.html

加入星球查看更多内容:

相关推荐
关注或联系我们
添加百川云公众号,移动管理云安全产品
咨询热线:
4000-327-707
百川公众号
百川公众号
百川云客服
百川云客服

Copyright ©2024 北京长亭科技有限公司
icon
京ICP备 2024055124号-2