Implementando Centralização de Syslog com Rsyslog

Quando Usar

• Ao implantar ou configurar a centralização de syslog com recursos do rsyslog em seu ambiente
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

1. Instale as dependências: pip install jinja2 paramiko
2. Gere certificados TLS para o servidor e clientes rsyslog usando OpenSSL.
3. Execute o agente para gerar as configurações do servidor e cliente rsyslog:
   • Servidor: Listener TLS na porta 6514, saída em diretório por host, templates em formato JSON
   • Cliente: Encaminhamento TLS com filas assistidas por disco para confiabilidade
4. Implante as configurações nos servidores via SSH (paramiko).
5. Valide a conectividade TLS e a entrega de logs.

python scripts/agent.py --server-ip 10.0.0.1 --clients 10.0.0.10,10.0.0.11 --ca-cert ca.pem --output syslog_report.json

Exemplos

Configuração do Servidor (TLS)

module(load="imtcp" StreamDriver.Name="gtls" StreamDriver.Mode="1"
       StreamDriver.Authmode="x509/name")
input(type="imtcp" port="6514")
template(name="PerHostLog" type="string" string="/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log")
*.* ?PerHostLog

Configuração do Cliente (Encaminhamento Confiável)

action(type="omfwd" target="10.0.0.1" port="6514" protocol="tcp"
       StreamDriver="gtls" StreamDriverMode="1"
       StreamDriverAuthMode="x509/name"
       queue.type="LinkedList" queue.filename="fwdRule1"
       queue.maxdiskspace="1g" queue.saveonshutdown="on"
       action.resumeRetryCount="-1")