Syslog Serverの使用

はじめに

Syslog (System Logging Protocol) は、システムログやイベントメッセージを特定サーバであるsyslog サーバに送るために使われる標準プロトコルです。

Syslogプロトコルは、ルータやスイッチなど、ほとんどのネットワークデバイスで有効になっています。

Syslogは多くのログ分析ツールでも使われます。このようなツールを使う場合、Check Pointログがセキュリティゲートウェイからsyslogサーバにsyslogフォーマットで送られることを確認してください。

Check Pointでは次のsyslogプロトコルをサポートしています。RFC 3164 (旧) および RFC 5424 (新)。

以下の機能は、サポートされていません。IPv6ログとSoftware Bladeログ。

セキュリティゲートウェイの設定

デフォルトでは、セキュリティゲートウェイのログはSecurity Management Serverへ送られます。

ログを直接Syslogサーバに送信するようセキュリティゲートウェイを設定できます。

重要 - Syslogは暗号化プロトコルではありません。セキュリティゲートウェイとログプロキシが近くにあり、安全なネットワーク上で通信していることを確認してください。

プロシージャ

  1. syslogサーバオブジェクトをSmartConsoleで定義します。

    1. 管理サーバにSmartConsoleから接続します。

    2. 左側のナビゲーションパネルから[ゲートウェイ&サーバ]をクリックします。

    3. Syslogサーバホストを表わすホストオブジェクトを作成します。

      1. オブジェクトエクスプローラから、New > Hostをクリックします。

      2. 以下のフィールドを設定します。

        • Name - 一意の名前を入力します。

        • IPv4 address - syslogサーバの正しいIPv4アドレスを入力します。

        • IPv6 address - 任意:syslogサーバの正しいIPv6アドレスを入力します。これには、セキュリティ ゲートウェイ/各クラスタメンバでIPv6サポートが有効である必要があります。

      3. ［OK］をクリックします。。

    4. Syslogサーバホストを表わすSyslogサーバオブジェクトを作成します。

      1. オブジェクトエクスプローラから、New > Server > More > Syslogをクリックします。

      2. 以下のフィールドを設定します。

        • Name - 一意の名前を入力します。

        • Host - 既存のホストを選択するか、Newをクリックして新しいコンピュータまたはアプライアンスを定義します。

        • Port - syslogサーバの正しいポート番号を入力します(デフォルト=514)。

        • Version - BSD ProtocolまたはSyslog Protocolを選択します。

      3. ［OK］をクリックします。。

    5. オブジェクトエクスプローラを閉じます。

  2. セキュリティゲートウェイ/クラスタオブジェクトで設定したsyslogサーバオブジェクトを選択します。

    1. Security Gatewayオブジェクトをダブルクリックします。

    2. 左のツリーからLogsをクリックします。

    3. Send logs and alerts to these log serversテーブルで、緑色(+)のボタンをクリックして設定したSyslog Serverオブジェクトを選択します。

      注：

      • ログを複数のSyslogサーバに送信するようセキュリティゲートウェイ/クラスタメンバを設定できます。

        セキュリティゲートウェイ/クラスタオブジェクトで選択したすべてのsyslogサーバは、同じプロトコルバージョンで使用する必要があります。（Version - BSD ProtocolまたはSyslog Protocol）

      • syslogサーバをバックアップサーバとしては設定できません。

    4. ［OK］をクリックします。。

    5. ポリシーをインストールします。

  3. セキュリティ ゲートウェイ/各クラスタメンバのログ記録のプロパティを設定します。

    注 - クラスタで、同じ方法でクラスタメンバを設定する必要があります。

    fwsyslog_enableカーネルパラメータは、セキュリティゲートウェイにおけるカーネルのSyslog機能を有効または無効にします。

    • 0 = 無効 (デフォルト)

    • 1 = 有効

    カーネルのSyslog機能を一時的（セキュリティゲートウェイが再起動するまで）、または永久的に（再起動後も）有効または無効にすることができます。

    1. セキュリティゲートウェイ/各クラスタメンバのコマンドラインにアクセスします。

    2. エキスパートモードでログインします。

    3. 次を実行します。

      fw ctl get int fwsyslog_enable

      出力:

      • "fwsyslog_enable = 0"の場合、機能は無効です (デフォルト)

      • "fwsyslog_enable = 1"の場合、機能は有効です

    1. セキュリティゲートウェイ/各クラスタメンバのコマンドラインにアクセスします。

    2. エキスパートモードでログインします。

    3. 次を実行します。

      fw ctl set int fwsyslog_enable 1

    4. SmartConsoleで、このセキュリティゲートウェイ/クラスタ オブジェクトにポリシーをインストールします。

    1. セキュリティゲートウェイ/各クラスタメンバのコマンドラインにアクセスします。

    2. エキスパートモードでログインします。

    3. $FWDIR/boot/modules/fwkern.confファイルを編集します:

      vi $FWDIR/boot/modules/fwkern.conf

    4. 次の行を追加します:

      fwsyslog_enable=1

    5. ファイルでの変更を保存して終了します。

    6. セキュリティゲートウェイ/クラスタメンバを再起動します。

    1. セキュリティゲートウェイ/各クラスタメンバのコマンドラインにアクセスします。

    2. エキスパートモードでログインします。

    3. 次を実行します。

      fw ctl set int fwsyslog_enable 0

    1. セキュリティゲートウェイ/各クラスタメンバのコマンドラインにアクセスします。

    2. エキスパートモードでログインします。

    3. $FWDIR/boot/modules/fwkern.confファイルを編集します:

      vi $FWDIR/boot/modules/fwkern.conf

    4. いずれか1つを実行します。

      • カーネルパラメータの値を0に設定します:

        fwsyslog_enable=0

      • 次の行全体を削除します:

        fwsyslog_enable=1

    5. ファイルでの変更を保存して終了します。

    6. セキュリティゲートウェイ/クラスタメンバを再起動します。

CoreXLファイアウォールインスタンスのログカウント

セキュリティゲートウェイ/各クラスタメンバ上のCoreXLファイアウォールインスタンスから送られるsyslogログの現在の数を確認できます。

  1. セキュリティゲートウェイ/各クラスタメンバのコマンドラインにアクセスします。

  2. エキスパートモードでログインします。

  3. 次を実行します。

    fw -i <CoreXL Firewall Instance Number> ctl get fwsyslog_nlogs_counter

    サンプル出力：

    fwsyslog_nlogs_counter = 21

  1. セキュリティゲートウェイ/各クラスタメンバで2つのコマンドラインにアクセスします。

  2. 各コマンドラインにエキスパートモードでログインします。

  3. 1つ目のシェルで次を実行します：

    fw ctl zdebug | grep logs

  4. 2つ目のシェルで次を実行します：

    fw ctl set int fwsyslog_print_counter 1

  5. 1つ目のシェルで、各CoreXLファイアウォールインスタンスとすべての合計のCoreXLファイアウォールインスタンスのカウンタを確認します。

    サンプル出力：

    ;[cpu_2];[fw4_0];Number of logs sent from instance 0 is 43;

    ;[cpu_2];[fw4_0];Number of logs sent from instance 1 is 39;

    ;[cpu_2];[fw4_0];Number of logs sent from instance 2 is 50;

    ;[cpu_2];[fw4_0];Total logs sent from kernel (all instances) = 132;

  6. 1つ目のシェルで、CTRL+Cを押してデバッグを停止します。

Syslogについては、付録:手動のSyslog解析を参照してください。