UTM Syslog - Beispiel: Passler PRTG

Passler PRTG als Syslog-Server für die Securepoint UTM einrichten

Letzte Anpassung: 08.2022

Neu:

Hinweis auf unverschlüsselte Übertragung

Vorherige Versionen: -

Vorbemerkung

Syslog-Daten der UTM können mit Lösungen von Drittherstellern erfasst werden.
Gezeigt wird diese hier am Beispiel PRTG von Paessler.

Da das Syslog nicht verschlüsselt ist, sollte bei einem Abruf über das Internet immer ein VPN-Tunnel genutzt werden

Voraussetzung

Installiertes PRTG auf einem Windows System
(Download unter https://www.paessler.com/de/prtg)
Siehe auch Systemanforderungen für PRTG
Ausreichende Lizenz für die zusätzlichen Sensoren zur Überwachung der UTM
- Syslog für eine UTM entspricht 1 Sensor
- die Freeware Version erlaubt die kommerzielle Nutzung und beinhaltet bis zu 100 Sensoren

PRTG verlangt eine eigene Absender E-Mail-Adresse um Status-Mails zu versenden.
Steht der Syslog-Server mit PRTG nicht innerhalb der eigenen Mail-Infrastruktur, kann dies bei korrekter Konfiguration der UTM zur Ablehnung der Mails führen (Fake-Absender).
Abhilfe schafft hier z.B. eine Allow-List Mailfilterregel für eine Monitoring-Mailadresse oder die Ergänzung der erlaubten Mailserver-IPs.

Vorbereitende Konfiguration auf der UTM

Im Menü → Netzwerk →ServereinstellungenReiter Syslog wird die Anbindung der UTM an einen Syslog-Server (syslogd) konfiguriert.

Syslog Einstellungen

╭╴ Syslog Einstellungen ╶╮

Beschriftung	Wert	Beschreibung
Hostname der UTM in den Syslog Meldungen protokollieren:	Nein	Bei Ja Aktivierung wird der Hostname mit übermittelt Diese Einstellung ist nicht kompatibel mit dem Securepoint Operation Center (SOC)
Syslog-Server Syslog-Server
Syslog-Server hinzufügen
IP / Hostname:	syslog.ttt-point.de	IP-Adresse oder Hostname des Syslog-Servers. Sollten dem Hostnamen mehrere IP-Adressen zugewiesen sein, während Round Robin DNS verwendet wird, kann es dazu führen, dass bei jedem Start des Syslog Diensts die Nachrichten an einen anderen Server gesendet werden. Außerdem wären Sie nicht mehr gegen DNS-Spoofing geschützt. Bitte stellen Sie sicher, dass dem Hostnamen nur eine IP-Adresse zugewiesen ist.
Port	514	Default-Port für Syslog-Nachrichten
Protokoll	udp	Default-Protokoll für Syslog-Nachrichten. Alternativ kann hier tcp ausgewählt werden. PRTG benötigt bei Syslog zwingend udp als Protokoll

Konfiguration PRTG Network Monitor

Im Dashboard das Menü Geräte wählen
IP-Adresse der UTM finden und Sensor hinzufügen wählen
Syslog-Sensor wählen
Syslog-Sensor konfigurieren und erstellen
Fertig konfigurierter Sensor liefert Livedaten der UTM

Menü wählen

Dort im Baum: Hauptgruppe - Local Probe - Netzwerksuche - Netzwerk-Infrastruktur im Eintrag mit der IP-Adresse der Firewall auf Sensor hinzufügen klicken

In der Suche syslog eingeben und auf die Kachel Syslog-Empfänger klicken

Beim Punkt Nachrichten löschen nach ggf. die Log-Länge anpassen
Sensor hinzufügen mit der Schaltfläche Erstellen

Fertig konfigurierter Sensor: Syslog liefert Livedaten der UTM