Настройка журналирования syslog

Общая информация

Интерфейс MULTIDIRECTORY предоставляет возможности для настройки централизованного журналирования системных событий LDAP с использованием протокола syslog. Журналирование через syslog позволяет собирать и хранить данные об аутентификации, ошибках подключения, запросах к каталогу и других операционных событиях. Это обеспечивает удобный контроль за работой сервиса, а также упрощает аудит и диагностику.

MULTIDIRECTORY поддерживает перенаправление событий LDAP в локальный или удалённый syslog-сервер. Такой подход позволяет централизовать хранение логов, анализировать инциденты и интегрировать события LDAP в общую систему мониторинга и SIEM-решения.

Централизованное журналирование LDAP в syslog облегчает отладку процессов аутентификации и авторизации, а также обеспечивает соответствие требованиям информационной безопасности.

Настройка журналирования.

Для перехода в меню настройки журналирования выберите шестерёнку в правом верхнем углу. Выберите пункт «Настройки MULTIDIRECTORY».

Выберите раздел «Журналирование» -> «События».

Выберите нужные события для выгрузки, отметив их галочкой в столбце «Активное состояние».

Расшифровка полей

ID
Уникальный числовой идентификатор события внутри системы.
Используется самой системой для учёта и привязки правил.
Пользователь вручную его не меняет.

ИМЯ (Name)
Служебное имя события. Например:

• create_organizationalUnit_ok — успешное создание организационной единицы (OU);
• modify_organizationalUnit_fail — неудачная попытка изменения OU.

Эти имена помогают быстро понимать, какое действие произошло, и в каком статусе оно завершилось.

УРОВЕНЬ ЛОГИРОВАНИЯ (Level)
Важность события для логирования.

• info — общие операции;
• warning — предупреждения.

АКТИВНОЕ СОСТОЯНИЕ (Active State)
Флаг (чекбокс), включено ли событие для отправки в syslog или внешнюю систему.

• Если галочка стоит — событие будет логироваться/отправляться;
• Если не стоит — оно игнорируется.

После выборки нужных событий, перейдите на вкладку «Журналирование» -> «Настройка отправки событий» и настройте отправку логов в локальный или удаленный сервер syslog.

Расшифровка полей

Наименование подключения
Произвольное имя, которое вы задаете для удобства (например: Test, SIEM-main, Syslog-DC1).
Используется только в интерфейсе для идентификации настроек, на работу отправки не влияет.

Тип сервера
Здесь выбирается протокол/сервис, через который будут уходить логи.

• В нашем случае доступен вариант Syslog.
• Иногда бывают и другие варианты (например, CEF, JSON, напрямую в SIEM).

IP/FQDN
Адрес сервера, куда будут отправляться события. Можно задать:

• IP-адрес (например: 192.168.1.1),
• или FQDN (например: syslog.md.local).

Порт
Сетевой порт на сервере-приёмнике.

• По умолчанию для Syslog это 514 (UDP или TCP).
• Если у вас настроен syslog-сервер на другой порт (например, 6514 для защищённого TLS), то укажите его (зависит от вашей настройки сервера).

Протокол
Указывает, каким транспортом будут отправляться сообщения:

• UDP — классический способ для Syslog, лёгкий, но ненадёжный (нет подтверждения доставки);
• TCP — более надёжный, сообщения гарантированно доходят;
• Иногда доступен TLS (шифрованный TCP), если сервер поддерживает защищённое соединение.