Syslog

By delfirosales 2:30 Cisco, Cisco IOS, Cisco Router, Cisco Switch, Security, Syslog

El Syslog es enviar mensajes de información que puede ser a un router o a un servidor externo.

¿Para que nos va servir el Syslog?

El Syslog nos puede servir para sabes cual es la naturaleza de alguna ataque o amenaza de seguridad. También nos sirve de bastante para Troubleshooting y podemos correlacionar cualquier tipo de eventos, como por ejemplo.

Un intento de acceso con contraseña equivocada
Un acceso correcto al sistema
Anomalías: variaciones en el funcionamiento normal del sistema
Alertas cuando ocurre alguna condición especial
Información sobre las actividades del sistema operativo
Errores del hardware o el software

Por lo tanto, es vital la administración adecuada de esta información para mantener corriendo de manera estable una red y principalmente para poder mitigar las amenazas de seguridad a las que nos podamos ver expuestos.

Los logs también se pueden enviar a la consola (por default)

Al Logging Buffer del Router (por default)
A las Líneas VTY (Ingresando el comando terminal monitor)
A un Servidor de SNMP como puede ser un Cisco Works
A un servidor de Syslog.

Existe un Cliente y Servidor de Syslog.

El Syslog Client es el que envía los logs, es decir un router puede ser un cliente de Syslog.
Servidor Syslog es un aquel servidor que guarda todos los logs.

Syslog Levels.

La figura anterior muestra los niveles de Syslog que se tienen.

Nivel 0 son las Emergencias: Es cuando hay un error severo que hace que el sistema no sea usable
Nivel 1 son Alertas: Significa que requieren atención inmediata.
Nivel 2 Critica: Requiere atención para prevenir que haya interrupción en el servicio.
Nivel 3 Errores: Condiciones de errores en el Sistema.
Nivel 4 Warnings: Es cuando algo en específico falla.
Nivel 5 Notificaciones: Alerta sobre los cambios de estados.
Nivel 6 Información: Información detallada acerca de la operación normal.
Nivel 7 Debugging: Información detallada, comandos de debug, usualmente puede servir simplemente para troubleshooting.

Es importante saber que existen estos 8 niveles, que significa cada uno y como se llaman.

Iniciando un router se presentan varios log, ejemplo.

Press RETURN to get started!
*Mar  1 00:00:07.059: %LINEPROTO-5-UPDOWN: Line protocol on Interface VoIP-Null0, changed state to up

5 = Nivel 5

*Mar  1 00:00:07.059: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up
*Mar  1 00:00:07.063: %LINK-3-UPDOWN: Interface FastEthernet0/1, changed state to up

3 = Nivel 3

*Mar  1 00:00:07.287: %SYS-5-CONFIG_I: Configured from memory by console
*Mar  1 00:00:07.875: %SYS-5-RESTART: System restarted --
Cisco IOS Software, 3600 Software (C3660-IK9O3S-M), Version 12.4(13b), RELEASE SOFTWARE (fc3)
Technical Support: https://www.cisco.com/techsupport
Copyright (c) 1986-2007 by Cisco Systems, Inc.
Compiled Tue 24-Apr-07 21:18 by prod_rel_team
*Mar  1 00:00:07.887: %SNMP-5-COLDSTART: SNMP agent on host Router is undergoing a cold start
*Mar  1 00:00:08.059: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to down
*Mar  1 00:00:09.299: %LINK-5-CHANGED: Interface FastEthernet0/1, changed state to administratively down

En el IOS de Cisco por default está configurado el log en la consola.

Cisco, Cisco IOS, Cisco Router, Cisco Switch, Security, Syslog