我一直在试图使用syslog-ng将日志从防火墙转发到SIEM,但问题是我只想转发原始原始日志而没有添加由syslog-ng添加的头文件。我有以下syslog-ng conf文件。Syslog-ng只转发原始日志
@version: 5.2
#Default configuration file for syslog-ng.
#
# For a description of syslog-ng configuration file directives, please read
# the syslog-ng Administrator's guide at:
#
# http://www.balabit.com/sites/default/files/documents/syslog-ng-pe-5.2- guides/en/syslog-ng-pe-v5.2-guide-admin/html-single/index.html
#
@include "scl.conf"
options {
};
######
# sources
source s_local {
# message generated by Syslog-NG
internal();
};
source s_udp {
udp(ip(X.X.X.X)
flags(no-parse)
port(514));
};
######
#templates
template no_header {
template($MSG); template_escape(no);
};
######
#destinations
destination d_siem {x
syslog("X.X.X.X" port(514) template(no_header));
};
log { source(s_udp); destination(d_siem);};
通过上述,我已成功地除去大部分syslog-ng的的头,但我不能删除以下大胆
**531 <13>1 2015-03-03T17:35:12+04:00 X.X.X.X - - - -** <189>date=2015-03-03 time=05:27:43 devname=XXX-X-X device_id=XXXX log_id=XXXX type=XXX subtype=XXX pri=notice vd= src=X.X.X.X src_port=X src_int="XXX" dst=X.X.X.X dst_port=XXX dst_int="XXX" SN=XXXXX status=XXX policyid=X dst_country="XXXX" src_country="XXXX" dir_disp=XXX tran_disp=XXX tran_sip=X.X.X.X tran_sport=XXX service=XXX proto=X duration=XXX sent=XXX rcvd=XXX sent_pkt=XXX rcvd_pkt=XXX
syslog-ng的文档指出:
(该$MSGHDR$MSG
部分编写在一起,因为$MSGHDR
宏包含尾随空格。)
如果在我的conf中,我将模板更改为米$MSG
到$MSGHDR
我收到的SIEM的唯一的事情是:
531 <13>1 2015-03-03T17:35:12+04:00 X.X.X.X - - - -
但同样,如果我用$MSG
或$MSGONLY
或$MESSAGE
我再次得到:
**531 <13>1 2015-03-03T17:35:12+04:00 X.X.X.X - - - -** <189>date=2015-03-03 time=05:27:43 devname=XXX-X-X device_id=XXXX log_id=XXXX type=XXX subtype=XXX pri=notice vd= src=X.X.X.X src_port=X src_int="XXX" dst=X.X.X.X dst_port=XXX dst_int="XXX" SN=XXXXX status=XXX policyid=X dst_country="XXXX" src_country="XXXX" dir_disp=XXX tran_disp=XXX tran_sip=X.X.X.X tran_sport=XXX service=XXX proto=X duration=XXX sent=XXX rcvd=XXX sent_pkt=XXX rcvd_pkt=XXX
我想要什么的syslog -ng转发只是这样的:
<189>date=2015-03-03 time=05:27:43 devname=XXX-X-X device_id=XXXX log_id=XXXX type=XXX subtype=XXX pri=notice vd= src=X.X.X.X src_port=X src_int="XXX" dst=X.X.X.X dst_port=XXX dst_int="XXX" SN=XXXXX status=XXX policyid=X dst_country="XXXX" src_country="XXXX" dir_disp=XXX tran_disp=XXX tran_sip=X.X.X.X tran_sport=XXX service=XXX proto=X duration=XXX sent=XXX rcvd=XXX sent_pkt=XXX rcvd_pkt=XXX
我已经筋疲力尽选项如:
options {
#keep-hostname(yes);
#chain-hostnames(no);
#use_fqdn(no);
#create_dirs(no);
#long_hostnames(off);
#flush_lines(0);
#use-dns(no);
#keep_timestamp(yes);
#flags(store-legacy-msghdr);
};
以上都没有影响。
我读过另一个论坛,可以使用重写和设置将锁定(不可更改)变量的值放入其他变量中,然后用PCRE等编辑新变量的值包含所需的数据,但我不完全确定我可以如何实现这一目标。
有人可以帮助与上述?
您好,感谢您的回答。使用tcp时,它从开始的时候就忽略了一些信息,但它与udp完美配合!这可能是因为防火墙使用udp发送日志。非常感谢你帮助了很多。 – Chameleon 2015-03-04 06:50:18
实际上'tcp()'现在已经被'network()'所青睐。 参见: https:// www。balabit.com/sites/default/files/documents/syslog-ng-ose-latest-guides/en/syslog-ng-ose-guide-admin/html/reference-source-tcpudp.html – 2016-02-19 00:17:19