Logları SIEM'e (Syslog) nasıl gönderirim?

Kısa cevap

İki ayrı yol vardır. vService'in erişim logları Load Balancer → Profiles → Logs profilinde Log Addresses alanına SIEM ya da syslog sunucusunun protokolü (UDP ya da TCP), adresi ve portu girilerek ve profil vService'te LOG işaretlenip seçilerek gönderilir; SIEM için Line Format olarak CEF Format ya da TR7 JSON Format seçilir (SIEM entegrasyonu). Cihazın sistem logları (User Logs, Notification Logs, GTM Logs ve Health Check Logs) ise Settings → General Settings → Log Forwarding profiliyle syslog üzerinden JSON, CEF ya da Plain Text biçiminde iletilir (Log Forwarding). İki yolda da gönderim UDP ya da TCP ile yapılır; TLS'li syslog seçeneği yoktur.

Sorun: Loglar Merkezi Olarak Toplanmıyor

Güvenlik ekibi bütün sistemlerin loglarını SIEM'de topluyor; TR7 üzerinden geçen isteklerin ve cihazda yapılan yönetim işlemlerinin de aynı yerde aranabilir ve saklanabilir olması isteniyor. Cihazdaki loglar boyut bütçesiyle sınırlı olduğundan uzun süreli saklama da log sunucusunda yapılır.

Çözüm: Üç Yöntem

Yöntem 1 ve Yöntem 2 farklı logları taşır ve birlikte kullanılabilir; Yöntem 3 aynı profilleri komut satırından oluşturur.

Durumunuz	Uygun yöntem
vService erişim logları (HTTP ve L7 TCP istek ve bağlantı satırları)	Yöntem 1: Logs profili + LOG
Cihaz sistem logları (kullanıcı işlemleri, bildirimler, GTM, health check'ler)	Yöntem 2: Log Forwarding
Komut satırından	Yöntem 3: WEB-CLI

Yöntem 1: Logs Profili Önerilen

• Nasıl çalışır Profil, LOG açık vService'lerin istek ve bağlantı satırlarını seçilen biçimde log adreslerine gönderir; bir profilde en fazla 10 adres tanımlanır.
• Nerede açılırLoad Balancer → Profiles → Logs
• Gereksinim TR7'den syslog sunucusuna ağ erişimi
• vService tipi HTTP · L7 TCP (Network vService'te LOG yoktur)

Adım adım yapılandırma

1

Adım 1 Profil formunu aç

Load Balancer → Profiles → Logs → Add ile profil formu açılır (nasıl eklenir).

2

Adım 2 Log adresini gir

Name girilir. Log Addresses satırında protokol (UDP ya da TCP), SIEM'in IP adresi ya da alan adı (ör. 192.0.2.50) ve portu (ör. 514) girilir; + ile başka bir hedef eklenebilir. Sampling kapalı bırakılır; açılırsa o adrese her 10 logdan yalnızca biri gönderilir.

3

Adım 3 Standart ve formatı seç

Log Standard SIEM'in beklediği başlık biçimine göre (ör. rfc5424), Line Format SIEM için CEF Format ya da TR7 JSON Format olarak seçilir. Formatların farkı: Hangi HTTP ve TCP log formatları destekleniyor (Standard, Apache Combined, Apache VHost, CEF, TR7 JSON, TR7 WAF, Manual JSON, Manual CEF, Manual log line)?

4

Adım 4 Profili kaydet

Formdaki Add'e tıklanır.

5

Adım 5 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında vService'e sağ tıklanıp Edit seçilir (vService'e nasıl eklenir).

6

Adım 6 LOG'u işaretle ve profili seç

Details panelinde LOG işaretlenir ve Log Profile alanında oluşturulan profil seçilir. Yerleşik Stream Log seçili kalırsa loglar yalnızca cihazda tutulur, dışarı gönderilmez.

7

Adım 7 Kaydet

Save'e tıklanır. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir ve iki cihaz da kendi trafiğinin loglarını aynı adreslere yollar; Manual Sync Mode açıksa Synchronize ile elle gönderilir.

Doğrulama

1SIEMDış sistem

vService'e istek gönderilir ve SIEM'de vService adıyla satır aranır.

BeklenenCEF:0|TR7|TR7 ASP|… ile başlayan satır (CEF Format)

Yöntem 2: Log Forwarding

• Nasıl çalışır Log Forwarding profili seçilen sistem log kaynaklarını syslog sunucusuna iletir; her profil bir hedeftir, birden çok profil birden çok hedef demektir.
• Nerede açılırSettings → General Settings → Log Forwarding
• Gereksinim TR7'den syslog sunucusuna ağ erişimi
• Kapsam Cihaz geneli; vService'e bağlı değildir

Adım adım yapılandırma

1

Adım 1 Profil formunu aç

Settings → General Settings → Log Forwarding → Add ile profil formu açılır (ekleme formu).

2

Adım 2 Hedefi ve biçimi gir

Name girilir; gerekirse Route Table seçilir. Syslog server, Port (varsayılan 514), Protocol (varsayılan UDP; TCP seçilebilir), Syslog Format (varsayılan RFC 3164 (BSD); RFC 5424 seçilebilir) ve Message Format (varsayılan JSON; CEF ya da Plain Text seçilebilir) girilir.

3

Adım 3 Log kaynaklarını seç

Log Sources alanında User Logs, Health Check Logs, Notification Logs ve GTM Logs'tan gerekenler seçilir; Health Check Logs dışındakiler varsayılan olarak seçilidir. Health Check Logs seçilirse Log all health checks (kapalıyken yalnızca durum değişiklikleri), User Logs seçilirse Send change details (varsayılan açık) görünür.

4

Adım 4 Profili kaydet

Formdaki Add'e tıklanır.

Doğrulama

1SIEMDış sistem

Arayüzde bir ayar değiştirilip kaydedilir ve SIEM'de kullanıcı işlemi kaydı aranır.

BeklenenKayıt gelir

Yöntem 3: WEB-CLI

• Nasıl çalışır Logs profili ve Log Forwarding profili komut satırından oluşturulur; Logs profili vService'e atanır.
• Nerede açılır TR7 WEB-CLI → lb log · settings log-transport
• Gereksinim WEB-CLI erişimi
• vService tipi HTTP · L7 TCP (Log Forwarding cihaz genelidir)

Adım adım yapılandırma

1

Adım 1 Logs profilini oluştur

--logAddresses.0.ip.ip ve --logAddresses.0.ip.port ilk log adresidir, --lineFormat cef CEF Format'tır (log sunucuları). Komut satırında protokol seçilmez; gönderim UDP ile yapılır. TCP gerekiyorsa protokol arayüzden seçilir.

lb log add name siem --lineFormat cef --logStandard rfc5424 --logAddresses.0.ip.ip 192.0.2.50 --logAddresses.0.ip.port 514

2

Adım 2 Profili vService'e ata

Profil adıyla atanır (bağlanan profiller):

lb service update id <vService> --log siem

3

Adım 3 Sistem logları için Log Forwarding profilini oluştur

transportType syslog zorunludur; --syslogMessageFormat cef CEF biçimini, --sources.0 … --sources.2 User Logs, Notification Logs ve GTM Logs kaynaklarını seçer (syslog hedefi, içerik alanları).

settings log-transport add name siem-sistem transportType syslog --syslogHost 192.0.2.50 --syslogProtocol tcp --syslogFormat rfc5424 --syslogMessageFormat cef --sources.0 userLogs --sources.1 notificationLogs --sources.2 gtmLogs

Doğrulama

1ProfilTR7 tarafı

Komut: lb service show <vService>

Beklenenlog alanında siem profili

2SIEMDış sistem

vService'e istek gönderilir ve SIEM'de satır aranır.

BeklenenSatır gelir

Sık Yapılan Hatalar

• Stream log profilini seçip gönderim beklemek. Stream log yalnızca cihaz içi logları açar; dışarı log göndermez.
• Log Forwarding'in vService erişim loglarını da taşıdığını sanmak. Log Forwarding yalnızca sistem log kaynaklarını iletir; erişim logları Logs profiliyle gönderilir.
• TLS'li syslog (6514) beklemek. Gönderim UDP ya da TCP ile, şifresiz yapılır.
• Sampling'i açık unutmak. Sampling açık adrese her 10 logdan yalnızca biri gider.
• Debug kayıtlarını SIEM'de beklemek. Debug Mode kayıtları dışarı gönderilmez; yalnızca cihazda tutulur.
• Kullanımdaki Logs profilini silmek. Silinen profili kullanan vService'lerde loglama tamamen durur.

Dokümantasyonda nasıl yapılır

• Logs profili · Log Addresses
• Logs profili · SIEM entegrasyonu
• Log Forwarding · Ekleme formu
• WEB-CLI · settings log-transport

İlgili sorular

• Hangi HTTP ve TCP log formatları destekleniyor (Standard, Apache Combined, Apache VHost, CEF, TR7 JSON, TR7 WAF, Manual JSON, Manual CEF, Manual log line)?
• Loglar cihazda ne kadar süre tutulur?
• IPFIX ile akış verisi gönderebilir miyim?