从F5设备向EventLog Analyzer转发Syslog的配置步骤
最后更新于：
- 转发系统日志：
- 登录配置实用程序。
- 导航至系统 > 日志 > 配置 > 远程日志记录。
- 输入远程IP地址。此处远程IP应为EventLog Analyzer服务器的IP地址。
- 输入远程端口号。EventLog Analyzer的默认远程端口为514。
- 点击添加。
- 点击更新。
- 转发事件日志（例如：防火墙事件、应用安全事件）
- 创建管理端口目标
- 登录配置实用程序。
- 导航至系统 > 日志 > 配置 > 日志目标。
- 点击创建。
- 输入日志目标名称。
- 要指定日志类型，请点击管理端口。
- 输入事件日志分析器服务器的IP地址。
- 输入事件日志分析器服务器的监听端口。默认监听端口为514。
- 在协议选项中选择UDP协议。
- 点击完成。
- 创建格式化远程syslog目标。
- 现在导航至系统 > 日志 > 配置 > 日志目标。
- 点击创建。
- 输入日志目标的名称。
- 要指定日志类型，请选择远程 syslog。
- 在syslog设置下，将syslog格式设为syslog，并选择转发至管理端口作为syslog目标。
- 点击完成。
- 创建日志发布者以转发日志。
- 导航至系统 > 日志 > 配置 > 日志发布器。
- 点击创建。
- 为日志发布者配置输入一个名称。
- 在可用列表中，点击先前配置的远程系统日志目标名称，将其移至已选列表。
- 点击完成。
- 为虚拟服务器创建日志配置文件。
- 导航至“安全性 > 事件日志 > 日志记录配置文件”。
- 点击创建。
- 为日志配置文件输入配置文件名称。
- 然后通过勾选复选框启用网络防火墙、应用程序安全或 两者兼有。
- 对于网络防火墙事件日志记录，请执行以下步骤
- 在网络防火墙配置下输入发布者。输入先前配置的Syslog发布者。
- 在日志规则匹配项下，依次点击"接受"、"丢弃"和"拒绝"。（注：若无需记录日志，可禁用该功能）
- 其他选项保持默认设置。（注意：存储格式应设为无）
- 应用程序安全事件日志记录操作步骤如下
- 在应用程序安全配置下，将存储目标选为远程存储。
- 选择日志格式为键值对（Splunk）。
- 选择协议为UDP或TCP。
- 输入事件日志分析器服务器的IP地址和端口（513/514），然后点击添加。
- 对于网络防火墙事件日志记录，请执行以下步骤
- 然后点击创建。
- 将日志配置文件应用于对应虚拟服务器
- 现在导航至本地流量 > 虚拟服务器
- 选择需要应用日志配置文件的虚拟服务器。
- 在顶部点击安全选项卡，然后点击策略。
- 进入网络防火墙设置。
- 设置强制执行：启用，并选择您的网络防火墙策略。
- 在日志配置文件下，启用日志配置文件并选择先前配置的日志配置文件。
- 最后点击更新。
- 创建管理端口目标