Syslog Forwarding - การส่ง Log ไปยัง SIEM

บทนำ

Syslog Forwarding เป็นฟีเจอร์ที่ใช้ส่ง log จาก cloud data lake ของ Sangfor Access Secure ไปยัง local syslog receiver เช่น SIEM (Security Information and Event Management) เพื่อให้องค์กรสามารถรวบรวมและวิเคราะห์ log จากหลายระบบในที่เดียวกัน รองรับ format CEF, CSV และ LEEF เป็น method ที่ Sangfor แนะนำสำหรับการ integrate กับ SIEM

ข้อกำหนดเบื้องต้น (Prerequisites)

• มีสิทธิ์ Administrator ในการเข้าถึง Sangfor Access Secure console
• มี SIEM หรือ syslog receiver ที่พร้อมรับ log (เช่น Splunk, QRadar, ELK)
• มี domain name ของ syslog server พร้อม certificate ที่ถูกต้อง
• เปิด firewall ให้ Sangfor cloud data lake สามารถสื่อสารกับ syslog server ได้ (โดยทั่วไปใช้ port 10514)

ขั้นตอนการตั้งค่า (Configuration Steps)

1. เข้าสู่ Sangfor Access Secure console จาก Platform-X
2. ที่แถบเมนูด้านซ้าย ไปที่ Syslog Forwarding
3. ตั้งค่าพารามิเตอร์ต่างๆ:
   • Name: ชื่อ syslog forwarding configuration
   • Syslog Server: ระบุค่าให้ตรงกับ Subject Alternative Name (SAN) ใน certificate ที่ติดตั้งบน domain syslog server
   • Port: port ที่ syslog receiver ใช้ (โดยทั่วไป 10514)
   • CA Details: เลือก Public CA หรือ Private CA
   • Test Connectivity: คลิกเพื่อทดสอบการเชื่อมต่อ
   • Log Format: เลือก CEF, CSV หรือ LEEF ตามที่ SIEM รองรับ
   • Delimiter: ระบุตัวคั่น log fields
   • Log Type: เลือกประเภท log ที่ต้องการ sync ไปยัง syslog receiver
   • Status Notification: เลือก administrator ที่จะรับการแจ้งเตือน หาก cloud data lake ไม่สามารถเชื่อมต่อ syslog server ได้
4. คลิก Save and Forward เพื่อเริ่ม forward log

การตรวจสอบ (Verification)

ตรวจสอบ Syslog Status ว่าเป็น Forwarding และไปดูใน SIEM ว่ามี log จาก Sangfor Access Secure เข้ามาตามที่กำหนด นอกจากนี้ใช้ Test Connectivity เพื่อตรวจสอบการเชื่อมต่อก่อนการใช้งานจริง

หมายเหตุ (Notes)

• Syslog Server ต้องระบุเป็น domain name ที่ตรงกับ SAN ใน certificate มิฉะนั้นการเชื่อมต่อ TLS จะล้มเหลว
• หาก cloud data lake ไม่สามารถเชื่อมต่อ syslog server ระบบจะส่งอีเมลแจ้งเตือนไปยัง administrator ที่กำหนดใน Status Notification
• เลือก log type ที่จำเป็นเท่านั้น เพื่อลด bandwidth และพื้นที่จัดเก็บใน SIEM
• Format CEF เป็น format ที่ SIEM ส่วนใหญ่รองรับและแนะนำให้ใช้