Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Ingestión de Syslog
La ingesta gestionada de syslog de Amazon CloudWatch Logs le permite enviar mensajes de syslog (RFC 5424, RFC 3164 y Cisco FTD/ASA) desde firewalls, enrutadores, conmutadores y servidores Linux directamente a Logs, sin necesidad de instalar ni administrar ningún agente. CloudWatch Sus fuentes de syslog envían mensajes a través de TCP, TCP+TLS o UDP a un punto final de VPC de su cuenta. El tráfico se canaliza AWS PrivateLink a través del servicio de syslog CloudWatch Logs, que analiza automáticamente los mensajes entrantes y extrae campos estructurados como la facilidad, la gravedad, el nombre de host y el nombre de la aplicación, lo que elimina la necesidad de utilizar canalizaciones de análisis personalizadas. A continuación, puede consultar estos campos mediante CloudWatch Logs Analytics para investigar los eventos de seguridad o solucionar problemas de conectividad. Esto le ayuda a centralizar la visibilidad de los registros de la infraestructura, simplificar los flujos de trabajo operativos y reducir la sobrecarga que supone la implementación y el mantenimiento de los agentes de recopilación de registros en entornos distribuidos.
Si sus fuentes de syslog ya están en su Amazon VPC, pueden enviar mensajes directamente al punto de enlace de la VPC. Si sus fuentes están fuera AWS (centros de datos locales, sucursales o instalaciones de ubicación conjunta), pueden llegar al punto final de la VPC a través de su conexión VPN o Direct Connect.
Protocolos y puertos compatibles
| Protocolo | Puerto | Notas |
|---|---|---|
| TCP + TLS | 6514 | Cifrado en tránsito. Recomendado para los requisitos de cumplimiento. |
| Texto plano de TCP | 1514 | Texto sin formato (aislado en la red AWS PrivateLink ). |
| UDP | 514 | Best-effort entrega. |
El TLS del puerto 6514 finaliza en el balanceador de cargas de red mediante un certificado AWS gestionado emitido por Amazon Trust Services. Sus clientes de syslog confían automáticamente en este certificado sin ninguna configuración especial.
nota
UDP es un protocolo que se basa en el mejor esfuerzo. Los mensajes pueden perderse debido a las condiciones de la red. Utilice TCP para una entrega fiable.
Formatos de syslog compatibles
CloudWatch Logs detecta y analiza automáticamente los siguientes formatos de syslog:
RFC 5424 (el formato más reciente): incluye datos estructurados, marcas de tiempo ISO 8601 y campos explícitos de nombre de aplicación e ID de proceso.
RFC 3164 (syslog de BSD, el formato anterior): incluye marcas de tiempo y un campo TAG. BSD-style Todavía se usa ampliamente en dispositivos de red como firewalls, enrutadores y conmutadores.
Cisco FTD/ASA: el formato syslog que utilizan los dispositivos Cisco Firepower Threat Defense (FTD) y Adaptive Security Appliance (ASA) de Cisco. Los mensajes se identifican mediante la
%ASA-etiqueta%FTD-o en el cuerpo del mensaje.
Los mensajes se almacenan en su grupo de registro en su formato original sin procesar. CloudWatch Los registros extraen automáticamente los campos estructurados de cada formato, que puedes consultar con CloudWatch Logs Insights.
Campos extraídos según el RFC 5424
| Campo | Description (Descripción) |
|---|---|
facility | Nombre de la categoría de registro (por ejemplo,, kernauth,local0). |
facilityCode | Código numérico de la instalación (0—23). |
severity | Nombre del nivel de gravedad (por ejemplo,,emerg,err). info |
severityCode | Código de gravedad numérico (0—7). |
timestamp | Marca de tiempo del mensaje en formato ISO 8601. |
hostname | Nombre de host del dispositivo de origen. |
appName | Nombre de la aplicación. |
procId | Identificador del proceso. |
msgId | Identificador del mensaje. |
structuredData | Elementos de datos estructurados según la RFC 5424 (metadatos clave-valor). |
message | Cuerpo del mensaje. |
Campos extraídos según el RFC 3164
| Campo | Description (Descripción) |
|---|---|
facility | Nombre de la categoría de registro. |
facilityCode | Código numérico de la instalación (0—23). |
severity | Nombre del nivel de gravedad. |
severityCode | Código de gravedad numérico (0—7). |
timestamp | Marca de tiempo del mensaje (convertida del formato BSD a ISO 8601). |
hostname | Nombre de host del dispositivo de origen. |
appName | Nombre de la aplicación (extraído del campo TAG). |
procId | ID de proceso (extraído del campo TAG, si está presente). |
message | Cuerpo del mensaje. |
Campos FTD/ASA extraídos por Cisco
| Campo | Description (Descripción) |
|---|---|
device | Tipo de dispositivo (FTDASA, oFMC-AUDIT-LOG). |
timestamp | Marca de tiempo del mensaje (formato RFC 3164 o RFC 5424, según la configuración del dispositivo). |
deviceId | Nombre de host del dispositivo (presente cuando se configura el device-id registro en el dispositivo). |
severity | Nombre del nivel de gravedad (por ejemplo, informationalwarning,critical). |
severityLevel | Nivel de gravedad numérico (0—7). |
messageId | Identificador numérico de mensajes de Cisco (por ejemplo,). 106023 302013 |
subsystem | Nombre del subsistema (presente para ciertos tipos de mensajes). |
message | Cuerpo del mensaje (texto sin formato) o campos clave-valor individuales cuando el cuerpo utiliza el formato estructurado de Cisco. |
Entrega de mensajes
A diferencia HTTP-based de la ingestión, en la que el servidor devuelve un código de estado para cada solicitud, syslog no envía al remitente una confirmación de éxito por mensaje. Una vez que el servicio recibe los mensajes, se almacenan en búfer y se entregan a su grupo de registro con reintentos en caso de errores transitorios. Las garantías de entrega dependen del protocolo de transporte que elija:
-
TCP (puertos 6514 y 1514): proporciona una entrega fiable en condiciones de funcionamiento normales.
Cuando la entrega no es posible, el servicio restablece la conexión TCP para avisar al cliente del error. Es posible que se pierdan los mensajes en curso en esa conexión, pero el restablecimiento de la conexión genera una contrapresión inmediata, de modo que el cliente puede detectar el problema y almacenar los mensajes en búfer localmente hasta que se resuelva la condición. En situaciones de presión de capacidad, el servicio rechaza las nuevas conexiones TCP antes de tiempo, lo que proporciona la misma señal de contrapresión.
Entre las condiciones que provocan el restablecimiento de la conexión se incluyen las siguientes:
La política de puntos finales de la VPC deniega el acceso
Se ha superado la
PutLogEventscuota de su cuentaEl grupo de registro de destino no existe
La política de recursos del grupo de registros deniega el acceso
UDP (puerto 514): Best-effort entrega. Los mensajes que no se pueden entregar se descartan sin que el remitente reciba ningún comentario. Los mensajes también pueden perderse debido a la congestión de la red o a las limitaciones de capacidad. Utilice TCP si la entrega fiable es importante para su caso práctico.
Para detectar y responder a los problemas de entrega, monitorea la SyslogMessagesDropped métrica en CloudWatch. La Reason dimensión indica por qué se eliminaron los mensajes para que puedas tomar medidas correctivas. Para obtener más información, consulte Supervisión de la ingesta de syslog.
Cuotas y límites
| Límite | Valor | Notas |
|---|---|---|
| Tamaño máximo de mensaje (TCP) | 64 KB | Los mensajes de syslog estándar suelen estar muy por debajo de este límite. Si tiene un caso práctico que requiere mensajes más grandes, póngase en contacto con AWS el equipo de soporte. |
| Tamaño máximo de mensaje (UDP) | 8 KB | Los mensajes de syslog estándar suelen estar muy por debajo de este límite. Si tiene un caso práctico que requiere mensajes más grandes, póngase en contacto con AWS el equipo de soporte. |
| Rendimiento de ingestión | Compartido con PutLogEvents |
La ingesta de Syslog se descuenta de la PutLogEvents cuota de su cuenta (de forma predeterminada, 5000 solicitudes por segundo por cuenta y región). |
La cuota de PutLogEvents se puede ajustar. Si su tráfico de syslog requiere un mayor rendimiento, solicite un aumento de la cuota a través de las cuotas de servicio. https://docs.aws.amazon.com/servicequotas/latest/userguide/request-quota-increase.html
