Сервер syslog — это программное обеспечение или выделенное устройство, которое получает сообщения syslog от различных устройств через сеть. Эти сообщения обычно включают события запуска и выключения системы, попытки аутентификации, изменения состояния сетевых интерфейсов, активность межсетевого экрана, предупреждения о безопасности, ошибки приложений, сбои оборудования и изменения конфигурации. Сервер хранит эти журналы в базе данных с возможностью поиска или в файлах журналов, что упрощает расследование инцидентов и мониторинг инфраструктуры.

Рабочий процесс включает генерацию событий сетевыми устройствами и операционными системами, за которой следует передача через порт UDP 514, порт TCP 514 или TLS (зашифрованный syslog). Сервер syslog прослушивает входящие сообщения от сотен или тысяч устройств одновременно. Журналы хранятся на основе исходного устройства, временной метки, серьезности, категории и типа события. Многие решения также автоматически сжимают и архивируют старые журналы.

Администраторы могут мгновенно искать журналы, фильтровать события, создавать панели управления, генерировать отчеты, обнаруживать аномалии и расследовать инциденты. Типичная развертывание состоит из четырех основных компонентов: приемник журналов, парсер, механизм хранения, механизм поиска, модуль оповещения и панель отчетности. Этот централизованный подход повышает безопасность за счет обнаружения несанкционированных входов, активности вредоносных программ, атак методом грубой силы и подозрительного сетевого поведения.

Обычные устройства, отправляющие журналы, включают маршрутизаторы, коммутаторы, межсетевые экраны, беспроводные контроллеры, серверы Linux, серверы Unix, хосты VMware, системы хранения, системы Vo IP, балансировщики нагрузки и устройства IDS/IPS. Преимущества включают более быстрое устранение неполадок, соответствие нормативным требованиям, таким как PCI DSS, HIPAA, ISO 27001, SOC 2 и GDPR, а также исторический анализ и автоматические оповещения.