Log-Weiterleitung (SIEM)¶
Sende die sicherheitsrelevanten Logs jedes Servers per TLS an einen zentralen Collector (SIEM oder Logserver). Off-Host-Logging ist ein Compliance-Grundpfeiler: Ein Server, der später kompromittiert wird, kann bereits gesendete Beweise nicht mehr löschen.
Zu finden unter System → Log-Weiterleitung (nur Admin). Die Konfiguration gilt flottenweit — sie wird an jeden aktiven Server verteilt und beim Controller-Start automatisch erneut angewandt, übersteht also Reboots und erreicht Server, die kurzzeitig nicht erreichbar waren.
TLS ist Pflicht¶
Es gibt keine Klartext-Option. Beim Aktivieren sind erforderlich:
- ein Collector-Host und Port (Standard
6514, Syslog-over-TLS / RFC 5425) und - das CA-Zertifikat (PEM), das das Zertifikat des Collectors signiert.
Der Agent konfiguriert rsyslog mit dem GnuTLS-Netzwerktreiber und prüft das
Collector-Zertifikat gegen deine CA (x509/certvalid). Setzt du zusätzlich einen
Permitted Peer, muss der Zertifikatsname (CN/SAN) des Collectors exakt
übereinstimmen (x509/name, Namens-Pinning).
Die Weiterleitungs-Aktion nutzt einen Platten-Spool (queue.saveonshutdown,
maxdiskspace=256m, unbegrenzter Resume-Retry) — ein kurzer Collector-Ausfall
oder ein Burst verliert keine Nachrichten.
Quellen¶
Alle sicherheitsrelevanten Quellen sind standardmäßig aktiv. Du kannst die Auswahl einschränken:
| Quelle | Was weitergeleitet wird |
|---|---|
| Auth / SSH | auth, authpriv — sshd, sudo, PAM (Logins, Rechteausübung) |
| Nginx | /var/log/nginx/access.log + error.log (via imfile) |
Postfix + Dovecot (mail-Facility) |
|
| fail2ban | Ban-/Unban-Ereignisse |
| Panel-Audit | Journal der enconf-*-Dienste (API + Agent) |
| Journal | Alles Übrige aus dem Journal (daemon, cron, kernel) |
Ist Journal aktiv, wird alles in einer Aktion weitergeleitet (auth, mail, fail2ban-über-Journal und die Panel-Dienste sind bereits enthalten), und die Facility-Filter werden weggelassen, um doppeltes Senden zu vermeiden. Schalte Journal aus, um nur die einzeln gewählten Facilities weiterzuleiten.
Anwenden & Status¶
Beim Speichern wird die gesamte rsyslog-Konfiguration (rsyslogd -N1) auf jedem
Server vor dem rsyslog-Neustart validiert und das Snippet bei Fehler
zurückgerollt — ein fehlerhafter Wert kann rsyslog nie startunfähig machen. Das
Panel Verteilung je Server zeigt pro aktivem Server, ob die Konfiguration
angewandt wurde oder warum sie fehlschlug (z. B. Agent nicht erreichbar).
Der Agent installiert rsyslog + rsyslog-gnutls bei Bedarf (Debian 13 liefert
standardmäßig nur journald).
Auf dem Server geschriebene Dateien¶
| Pfad | Inhalt |
|---|---|
/etc/rsyslog.d/00-enconf-forward.conf |
Weiterleitungs-Ruleset + Quellen-Routing |
/etc/rsyslog.d/enconf-forward-ca.pem |
Deine Collector-CA (nur root) |
Beim Deaktivieren werden beide Dateien entfernt und rsyslog neu gestartet.