Vous pouvez choisir d'envoyer vers un serveur syslog les informations suivantes :
- les évènements du journal. Ceux-ci sont cependant toujours affichés à la page .
- optionnel : chaque évènement de trafic utilisateur (requêtes URL, échanges protocolaires, analyse de contenu, menaces) individuellement, en temps réel. Pour chaque évènement, l'Olfeo génère une ligne selon la syntaxe spécifiée et l'envoie au serveur syslog. Envoyer les logs de trafic sur un serveur distant permet d'alimenter une solution d'analyse performante telle qu'une stack ELK ou un autre SIEM. Cela est pertinent si vous avez de gros volumes de données ou un besoin de reporting nécessitant de grosses capacités de calcul.
Le serveur syslog doit obligatoirement être en écoute sur le port standard 514, en UDP.
Paramétrage
- Rendez-vous à la page .
- Dans la section Syslog, saisissez un nom et une description.
- Dans la section Paramétrage, saisissez l'adresse IP ou le nom du serveur syslog dans le champ Serveur. Attention, le serveur sera contacté sur le port standard 514, en UDP.
- Si vous souhaitez également envoyer les évènements de trafic utilisateur, cochez Envoyer les logs de trafic.
- Cliquez sur Créer. Le serveur apparaît dans l'onglet
Syslog.
Listes des variables
| Attributs | Description |
|---|---|
| Category-Id | Identifiant de Catégorie (contenue dans la base d’URL d’Olfeo) de la requête |
| Date | Date dans un format lisible généré à partir du timestamp UTC |
| Destination-port | Port de destination du paquet |
| Domain | Domaine de destination de la requête |
| File-Name | Nom du fichier analysé |
| Group-Id | Identifiant Olfeo contenu dans la table dir_group du groupe de l’utilisateur identifié |
| LogTypes | Booleen (prenant la valeur 0 ou 1) informant si la requête est logguée ou pas |
| Monitoring | Booleen informant de l’état du monitoring qui est en fait l’audit (si il est activée ou pas) |
| Matched-Policy-Id | Identifiant (dynobj_id) de la politique ayant matché la requête |
| Mime-Type | Type mime du fichier analysé |
| Name | Nom actuel de l’utilisateur s’il existe encore dans la base, sinon nom au moment de la requête |
| Peer | Adresse IP de la source du paquet |
| Proto-Id | Numéro d’identifiant Qosmos du protocole Proto-Volume-Upload Somme des paquets envoyé par Squid |
| Proto-Volume-Download | Somme des paquets téléchargé par Squid |
| Proxy-Cache-Answer | Réponse du cache de squid |
| Proxy-Id | Identifiant Olfeo d’objet dynamique du proxy ayant traité la requête |
| Quota-Id | Identifiant Olfeo d’objet dynamique du quota restreignant la requête |
| Req-Answer-Reason | Numéro correspondant aux type d’action effectuer (override, quota, timeslot, allowed, denied, etc.) |
| Req-Status | Numéro indiquant le status de la requête si elle a été autorisé (1), bloquée (2), ou re-dirigée (3) (0 dans un cas inconnue) |
| Req-Type | Type de requête (Req-Type-Url, Req-Type-Proto, Req-Type-File, Req-Type-Ip) |
| Size | Taille du cache de squid |
| Source-Port | Port source du paquet |
| Timestamp | Nombre de seconde depuis EPOCH en UTC |
| Timestamp-Tz | Nombre de seconde depuis EPOCH a l’heure local |
| Upload-As-Unknown | Booleen indiquant si la remontée est faite pour ce domaine |
| Url | URL de la requête |
| Url-Id | Identifiant de requête Squid (Utilisé afin de garder une association entre les différentes requêtes véhiculées par squid-wrapper) |
| User-Id | Identifiant Olfeo contenu dans la table dir_user de l’utilisateur |
| User-Ip | Adresse IP source contenue dans la requête |
| User-Mac | Adresse MAC source contenue dans la requête |
| Username | Nom d’utilisateur (remonté par Squid) |
| User-agent | User agent à partir duquel la requête a été émise. Exemple : Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/20100101 Firefox/45.0 |
| Virus-Name | Nom du virus détécté |