Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Journalisation des audits

June 13, 2024
Contributeur: 
C

Important

Nous vous recommandons de mettre à jour une configuration SYSLOG ou NSLOG uniquement pendant la maintenance ou les temps d’arrêt. Si vous mettez à jour une configuration après avoir créé une session, les modifications ne sont pas appliquées aux journaux de session existants.

L’audit est un examen méthodique ou un examen d’un état ou d’une situation. La fonctionnalité de journalisation des audits vous permet de consigner les états de NetScaler et les informations d’état collectées par différents modules. Les informations du journal peuvent se trouver dans le noyau et dans les démons de niveau utilisateur.

Vous pouvez configurer NetScaler pour stocker les informations du journal localement sur NetScaler ou les exporter vers un serveur distant, ou les deux.

Journalisation locale

La journalisation locale fait référence au processus de stockage des données d’événements générées par NetScaler, telles que les erreurs, les avertissements et les événements système, localement dans NetScaler. Ces données peuvent être utilisées à des fins de surveillance et de dépannage, d’audit et d’analyse de sécurité.

Par défaut, NetScaler enregistre ses journaux localement dans le stockage persistant NetScaler à l’aide du protocole UDP. Les journaux sont stockés dans le fichier ns.log situé sous le dossier /var/log/. La journalisation locale étant activée par défaut, vous n’avez pas besoin d’effectuer de configuration supplémentaire pour stocker les journaux.

La journalisation locale présente les avantages suivants :

  • Accessibilité : vous pouvez accéder aux journaux même en cas de problèmes de réseau. Les journaux sont accessibles rapidement car ils ne dépendent pas des connexions réseau.
  • Sécurité : les données sensibles ou confidentielles restent stockées dans NetScaler, ce qui réduit le risque d’accès non autorisé.
  • Conformité : de nombreuses exigences réglementaires imposent la conservation des données des journaux pendant une certaine période. Ainsi, en stockant les journaux localement, NetScaler garantit sa conformité.

Par défaut, tous les niveaux de journalisation sont activés à l’exception de DEBUG. Vous pouvez toutefois ajuster les niveaux des journaux stockés dans le fichier ns.log.

Avertissement

Si vous configurez la journalisation locale pour de nombreuses fonctionnalités ou si vous définissez un niveau de journalisation pour stocker des journaux moins importants, la stabilité et les performances de NetScaler peuvent être affectées. Nous vous recommandons vivement d’éviter d’utiliser la journalisation locale de manière intensive. Utilisez plutôt la journalisation à distance si une journalisation détaillée est requise.

Pour modifier le paramètre de journalisation par défaut, utilisez la commande suivante :

set syslogparams -acl ( ENABLED | DISABLED )
        -alg ( ENABLED | DISABLED )
        -appflowExport ( ENABLED | DISABLED )
        -ContentInspectionLog ( ENABLED | DISABLED )
        -dateFormat <dateFormat>
        -dns ( ENABLED | DISABLED )
        -logFacility <logFacility>
        -logLevel <logLevel> ...
        -lsn ( ENABLED | DISABLED )
        -serverIP <ip_addr|ipv6_addr|*>
        -serverPort <port>
        -sslInterception ( ENABLED | DISABLED )
        -subscriberLog ( ENABLED | DISABLED )
        -tcp ( NONE | ALL )
        -timeZone ( GMT_TIME | LOCAL_TIME )
        -urlFiltering ( ENABLED | DISABLED )
        -userDefinedAuditlog ( YES | NO )
<!--NeedCopy-->

La journalisation locale présente les inconvénients suivants :

  • Impact sur les performances : les activités de journalisation peuvent consommer des ressources système, ce qui peut avoir un impact sur les performances et la stabilité de NetScaler.
  • Stockage : NetScaler ne peut stocker qu’une quantité limitée de données de journal car la capacité de stockage locale est faible par rapport au stockage centralisé.
  • Évolutivité : ne convient pas aux déploiements à grande échelle. Dans les déploiements à grande échelle, les solutions de journalisation centralisée sont préférées pour faciliter la gestion et l’évolutivité.
    • Défis de conformité dans les déploiements à grande échelle : de nombreux secteurs ont des réglementations et des exigences de conformité concernant la gestion et la conservation des journaux. La gestion de la conformité devient plus complexe lorsque les journaux sont stockés localement, car il faut s’assurer que chaque appareil respecte les normes nécessaires.
  • Accessibilité sur un réseau à grande échelle : l’accès aux journaux stockés localement sur NetScaler peut nécessiter un accès direct à l’appareil. Cela devient peu pratique dans les grands réseaux, car l’accès aux journaux à partir de plusieurs appareils répartis sur un réseau est fastidieux.
  • Point de défaillance unique : en cas de dysfonctionnement matériel, tous les journaux stockés localement deviennent inaccessibles. Cela crée un point de défaillance unique pour l’enregistrement des données, ce qui peut entraîner la perte d’informations précieuses.

Journalisation à distance

NetScaler vous permet de stocker les informations du journal sur un serveur externe. Vous pouvez configurer NetScaler pour exporter les journaux vers le serveur externe via UDP ou TCP. Selon vos besoins, vous pouvez stocker les informations du journal localement ou les exporter vers un serveur externe, ou les deux. Pour plus d’informations sur la journalisation à distance et sur la configuration de la journalisation à distance, consultez Configuration de NetScaler pour la journalisation des audits.

SYSLOG et NSLOG

Pour la journalisation des audits, vous pouvez utiliser le protocole SYSLOG, le protocole NSLOG natif, ou les deux.

SYSLOG est un protocole standard pour la journalisation. Il comporte deux composantes :

  • Module d’audit SYSLOG : s’exécute sur NetScaler.
  • Serveur SYSLOG : s’exécute sur le système d’exploitation (OS) FreeBSD sous-jacent de NetScaler ou sur un système distant.

SYSLOG utilise un protocole de données utilisateur (UDP) pour le transfert de données.

De même, le protocole NSLOG natif comporte deux composants :

  • Module d’audit NSLOG : s’exécute sur NetScaler.
  • Serveur NSLOG : fonctionne sur le système d’exploitation FreeBSD sous-jacent de NetScaler ou sur un système distant.

NSLOG utilise le protocole TCP pour le transfert de données.

Lorsque vous exécutez un serveur SYSLOG ou NSLOG, il se connecte à NetScaler. NetScaler commence ensuite à envoyer toutes les informations de journal au serveur SYSLOG ou NSLOG. Et le serveur filtre les entrées du journal avant de les stocker dans un fichier journal. Un serveur NSLOG ou SYSLOG reçoit les informations de journal de plusieurs NetScaler. NetScaler envoie les informations de journal à plusieurs serveurs SYSLOG ou NSLOG.

Si plusieurs serveurs SYSLOG sont configurés, NetScaler envoie ses événements et messages SYSLOG à tous les serveurs de journaux externes configurés. Cela entraîne le stockage de messages redondants et complique la surveillance pour les administrateurs système. Pour résoudre ce problème, NetScaler propose des algorithmes d’équilibrage de charge. NetScaler peut équilibrer la charge des messages SYSLOG entre les serveurs de journaux externes pour améliorer la maintenance et les performances. Les algorithmes d’équilibrage de charge pris en charge incluent RoundRobin, LeastBandWidth, CustomLoad, LeastPackets et AuditLogHash.

Remarque

NetScaler peut envoyer des messages de journal d’audit d’une taille maximale de 16 Ko à un serveur SYSLOG externe.

Les informations de journal qu’un serveur SYSLOG ou NSLOG collecte auprès d’un NetScaler sont stockées dans un fichier journal sous forme de messages. Ces messages contiennent généralement les informations suivantes :

  • Adresse IP de NetScaler qui a généré le message de journal.
  • Un horodatage
  • Le type de message
  • Les niveaux de journalisation prédéfinis (critique, erreur, notification, avertissement, information, débogage, alerte et urgence)
  • Les informations de message

Pour configurer la journalisation des audits, vous devez d’abord configurer les modules d’audit sur NetScaler. NetScaler implique la création de stratégies d’audit et la spécification des informations relatives au serveur NSLOG ou au serveur SYSLOG. Vous installez et configurez ensuite le serveur SYSLOG ou NSLOG sur le système d’exploitation FreeBSD sous-jacent de NetScaler ou sur un système distant.

Remarque

SYSLOG est une norme industrielle pour l’enregistrement des messages des programmes, et divers fournisseurs fournissent une assistance. La documentation ne contient pas d’informations de configuration du serveur SYSLOG.

Le serveur NSLOG possède son propre fichier de configuration (auditlog.conf). Vous pouvez personnaliser la journalisation sur le système serveur NSLOG en apportant des modifications supplémentaires au fichier de configuration (auditlog.conf).

Remarque

L’accès ICMP au serveur SYSLOG est obligatoire si le serveur SYSLOG est utilisé comme nom de domaine complet dans le cadre de l’action SYSLOG sur le réseau. Si l’accès ICMP est bloqué dans l’environnement, configurez-le en tant que serveur SYSLOG à charge équilibrée et définissez la valeur du paramètre healthMonitor dans la commande set service sur NO. Pour configurer ICMP, voir Serveurs SYSLOG d’équilibragede charge

Journalisation des audits
June 13, 2024
Contributeur: 
C
June 13, 2024
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.