Syslog — ثبت رویداد متمرکز
تجهیزات شبکه و سرورها رویدادهای خود را به یک سرور لاگ مرکزی می‌فرستند تا تحلیل، هشدار و نگه‌داری شوند.
- لایهٔ OSI: 7 (کاربرد)
- انتقال: UDP (یا TCP/TLS)
- پورت: 514 / 6514
- استاندارد: RFC 5424 / 5425
- سطح: متوسط · حدود 5 دقیقه
نکته‌های کلیدی
- هشت سطح شدت از ۰ (اضطراری) تا ۷ (اشکال‌زدایی) دارد.
- UDP 514 سریع است ولی تحویل و اصالت را تضمین نمی‌کند؛ TLS روی 6514 امن است.
- همگام بودن ساعت (NTP) برای همبستگی رویدادها ضروری است.
مراحل شبیه‌سازی (4 بسته)
- RFC 5424: فایروال تلاش مسدودشدهٔ اتصال به پورت RDP را گزارش می‌کند. عدد PRI ترکیب نوع منبع و شدت است.
- RFC 3164: روتر قدیمی‌تر با قالب BSD گزارش می‌دهد: قطع شدن یک رابط با شدت خطا.
- همبستگی رویدادها: SIEM رویدادهای همهٔ تجهیزات را بر اساس زمان کنار هم می‌گذارد و الگوهای مشکوک را هشدار می‌دهد.
- Syslog روی TLS: برای حفظ محرمانگی و جلوگیری از جعل، پیام‌ها روی TCP 6514 و داخل TLS ارسال می‌شوند.
درس‌های مرتبط
- Modbus/TCP — پروتکل صنعتی مادباس
- MQTT — پیام‌رسانی سبک اینترنت اشیا
- SNMP — پروتکل سادهٔ مدیریت شبکه
- NTP — پروتکل زمان شبکه
- DHCP — پیکربندی پویای میزبان