dirigir <\/strong>los registros recibidos por Graylog al nuevo \u00edndice Linux.<\/li>\n<\/ul>\n\n\n\nA. Crear una entrada para Syslog<\/h3>\n\n\n\n Con\u00e9ctese a la interfaz Graylog, haga clic en \"System<\/strong>\" en el men\u00fa y luego en \"Inputs<\/strong>\". En la lista desplegable, seleccione \"Syslog UDP<\/strong>\" y, a continuaci\u00f3n, haga clic en el bot\u00f3n \"Launch new input<\/strong>\". Tambi\u00e9n es posible crear una entrada Syslog TCP, pero esto requiere el uso de un certificado TLS: esto es una ventaja para la seguridad, pero no ser\u00e1 discutido en este art\u00edculo.<\/p>\n\n\n\nAparecer\u00e1 un asistente en la pantalla. Empieza dando un nombre a esta Entrada, por ejemplo \"Graylog_UDP_Rsyslog_Linux<\/strong>\", y elige un puerto. El puerto por defecto es \"514<\/strong>\" pero puedes personalizarlo. Aqu\u00ed, el puerto \"12514<\/strong>\" est\u00e1 seleccionado. <\/p>\n\n\n\nTambi\u00e9n puede marcar la opci\u00f3n \"Store full message<\/strong>\" para almacenar el mensaje de registro completo en Graylog. Haga clic en \"Launch Input<\/strong>\".<\/p>\n\n\n\nLa nueva Entrada ha sido creada y ya est\u00e1 activa. Graylog ya puede recibir registros Syslog en el puerto 12514\/UDP, pero a\u00fan no hemos terminado de configurar la aplicaci\u00f3n. <\/p>\n\n\n\n\nNota <\/strong>: una sola entrada puede utilizarse para almacenar registros de varias m\u00e1quinas Linux.<\/p>\n<\/blockquote>\n\n\n\nB. Crear un nuevo \u00edndice Linux<\/h3>\n\n\n\n Necesitamos crear un \u00cdndice en Graylog para almacenar los logs de las m\u00e1quinas Linux. Un \u00edndice<\/strong> en Graylog es una estructura de almacenamiento que contiene los registros recibidos, es decir, los mensajes recibidos. Graylog utiliza OpenSearch como motor de almacenamiento, y los mensajes se indexan para permitir b\u00fasquedas r\u00e1pidas y eficientes. <\/p>\n\n\n\nDesde Graylog, haz clic en \"System<\/strong>\" en el men\u00fa y, a continuaci\u00f3n, en \"Indices<\/strong>\". En la nueva p\u00e1gina que aparece, haz clic en \"Create index set<\/strong>\".<\/p>\n\n\n\nNombra este \u00edndice, por ejemplo \"Linux Index<\/strong>\", a\u00f1ade una descripci\u00f3n y un prefijo, antes de confirmar. Aqu\u00ed, almacenaremos todos los registros de Linux en este \u00edndice<\/strong>. Tambi\u00e9n es posible crear \u00edndices espec\u00edficos para almacenar s\u00f3lo determinados registros (registros SSH, registros de servicios web, etc.).<\/p>\n\n\n\nAhora tenemos que crear un nuevo flujo para dirigir los mensajes a este \u00edndice.<\/p>\n\n\n\n
C. Crear una corriente<\/h3>\n\n\n\n Para crear un nuevo flujo, haz clic en \"Stream<\/strong>\" en el men\u00fa principal de Graylog. A continuaci\u00f3n, haz clic en el bot\u00f3n \"Create stream<\/strong>\" de la derecha. En la ventana que aparece, asigne un nombre al flujo, por ejemplo \"Linux Stream<\/strong>\", y elija el \"Linux Index<\/strong>\" para el campo \"Conjunto de \u00edndices\"<\/strong>. Confirme su elecci\u00f3n.<\/p>\n\n\n\n\nNota <\/strong>: los mensajes correspondientes a este flujo tambi\u00e9n se incluir\u00e1n en el \"<\/strong>Flujo por defecto<\/strong>\", a menos que marque la opci\u00f3n \"Eliminar coincidencias del 'Flujo por defecto'<\/strong>\".<\/p>\n<\/blockquote>\n\n\n\nA continuaci\u00f3n, en la configuraci\u00f3n de vapor, haga clic en el bot\u00f3n \"Add stream rule<\/strong>\" para a\u00f1adir una nueva regla de enrutamiento de mensajes. Si no encuentra esta ventana, haga clic en \"Streams<\/strong>\" en el men\u00fa, luego en la l\u00ednea correspondiente a su stream, haga clic en \"Plus<\/strong>\" y luego en \"Manage rules<\/strong>\".<\/p>\n\n\n\nElija el tipo de entrada \"match input<\/strong>\" y seleccione la entrada Rsyslog UDP<\/strong> creada anteriormente. Confirme con el bot\u00f3n \"Create rule<\/strong>\". Todos los mensajes a nuestra nueva entrada ser\u00e1n ahora enviados al Index para Linux.<\/p>\n\n\n\nSu nuevo Stream deber\u00eda aparecer en la lista y estar en estado \"Running\"<\/strong>. El ancho de banda del mensaje muestra \"0 msg\/s<\/strong>\", ya que actualmente no estamos enviando ning\u00fan registro a la entrada Rsyslog UDP. Para ver los logs de un stream, simplemente haga clic en su nombre. <\/p>\n\n\n\nTodo est\u00e1 listo en el lado Graylog<\/strong>. El siguiente paso es configurar la m\u00e1quina Linux. <\/p>\n\n\n\nIII. Instalaci\u00f3n y configuraci\u00f3n de Rsyslog en Linux <\/h2>\n\n\n\n Inicie sesi\u00f3n en la m\u00e1quina Linux, ya sea de forma local o remota, y utilice una cuenta de usuario con permisos para elevar sus privilegios (a trav\u00e9s de sudo). De lo contrario, utilice directamente la cuenta \"root\". <\/p>\n\n\n\n
A. Instalaci\u00f3n del paquete Rsyslog<\/h3>\n\n\n\n Empiece actualizando la cach\u00e9 de paquetes e instalando el paquete \"rsyslog<\/strong> \".<\/p>\n\n\n\nsudo apt-get update\nsudo apt-get install rsyslog<\/code><\/pre>\n\n\n\nA continuaci\u00f3n, compruebe el estado del servicio. En la mayor\u00eda de los casos, ya est\u00e1 en marcha. <\/p>\n\n\n\n
sudo systemctl status rsyslog<\/code><\/pre>\n\n\n\nB. Configuraci\u00f3n de Rsyslog<\/h3>\n\n\n\n Rsyslog tiene un archivo de configuraci\u00f3n principal ubicado aqu\u00ed:<\/p>\n\n\n\n
\/etc\/rsyslog.conf<\/code><\/pre>\n\n\n\nAdem\u00e1s, el directorio \"\/etc\/rsyslog.d\/<\/strong>\" se utiliza para almacenar archivos de configuraci\u00f3n adicionales para Rsyslog. En el archivo de configuraci\u00f3n principal, hay una directiva Include para importar todos los archivos \".conf<\/strong>\" ubicados en este directorio. Esto permite disponer de ficheros adicionales para configurar Rsyslog sin modificar el fichero principal. <\/p>\n\n\n\nEn este directorio, debe utilizar n\u00fameros para definir el orden de carga, ya que los ficheros se cargan por orden alfab\u00e9tico. A\u00f1adir un prefijo num\u00e9rico permite gestionar la prioridad entre varios ficheros de configuraci\u00f3n. Aqu\u00ed, s\u00f3lo tenemos un archivo adicional, por lo que no es un problema. <\/p>\n\n\n\n
En este directorio, crearemos un archivo llamado \"10-graylog.conf<\/strong>\" :<\/p>\n\n\n\nsudo nano \/etc\/rsyslog.d\/10-graylog.conf<\/code><\/pre>\n\n\n\nEn este archivo, inserte esta l\u00ednea :<\/p>\n\n\n\n
*.* @192.168.10.220:12514;RSYSLOG_SyslogProtocol23Format<\/code><\/pre>\n\n\n\nHe aqu\u00ed c\u00f3mo interpretar esta l\u00ednea:<\/p>\n\n\n\n
\n*.* <\/strong>: significa enviar todos los registros Syslog de la m\u00e1quina Linux a Graylog.<\/li>\n\n\n\n@<\/strong>: indica que el transporte se realiza en UDP. Para cambiar a TCP, especifique\"@@<\/strong>\". <\/li>\n\n\n\n192.168.10.220:12514<\/strong>: indica la direcci\u00f3n del servidor Graylog, as\u00ed como el puerto por el que se env\u00edan los logs (correspondiente a Entrada).<\/li>\n\n\n\nRSYSLOG_SyslogProtocol23Format<\/strong>: formato de los mensajes a enviar a Graylog.<\/li>\n<\/ul>\n\n\n\nCuando haya terminado, guarde el archivo y reinicie Rsyslog.<\/p>\n\n\n\n
sudo systemctl restart rsyslog.service<\/code><\/pre>\n\n\n\nTras esta acci\u00f3n, los primeros mensajes deber\u00edan llegar a tu servidor Graylog.<\/p>\n\n\n\n
IV. Visualizaci\u00f3n de los registros de Linux en Graylog <\/h2>\n\n\n\n Desde Graylog, puedes hacer clic en \"Streams<\/strong>\" y seleccionar tu nuevo stream para mostrar los mensajes asociados. Alternativamente, haz clic en \"Search<\/strong>\" y selecciona tu Steam e inicia una b\u00fasqueda.<\/p>\n\n\n\nHe aqu\u00ed algunos elementos clave de la interfaz:<\/p>\n\n\n\n
1<\/strong> - Seleccione el periodo durante el cual se mostrar\u00e1n los mensajes. Por defecto, se muestran los mensajes de los \u00faltimos 5 minutos. <\/p>\n\n\n\n2 <\/strong>- Seleccione los flujos que desea visualizar.<\/p>\n\n\n\n3<\/strong> - Activa la actualizaci\u00f3n autom\u00e1tica de la lista de mensajes (cada 5 segundos, por ejemplo). De lo contrario, ser\u00e1 est\u00e1tica y tendr\u00e1s que actualizarla manualmente. <\/p>\n\n\n\n4<\/strong> - Haga clic en la lupa para lanzar la b\u00fasqueda tras modificar el periodo, el flujo o el filtro.<\/p>\n\n\n\n5<\/strong> - Barra de entrada para especificar los filtros de b\u00fasqueda. Aqu\u00ed, especifico \"source:srv-docker<\/strong>\" para mostrar s\u00f3lo los registros de la nueva m\u00e1quina en la que acabo de configurar Rsyslog. <\/p>\n\n\n\nLos logs son enviados por la m\u00e1quina Linux:<\/p>\n\n\n\nV. Identificaci\u00f3n de un fallo de conexi\u00f3n SSH<\/h2>\n\n\n\n La fuerza de Graylog reside en su capacidad para indexar logs y permitir realizar b\u00fasquedas seg\u00fan diversos criterios: m\u00e1quina de origen, marca de tiempo, contenido del mensaje, etc... Podr\u00edamos estar buscando identificar conexiones SSH fallidas.<\/p>\n\n\n\n
Desde una m\u00e1quina remota (el servidor Graylog, por ejemplo), intente conectarse a su servidor Linux en el que acaba de configurar Rsyslog. Por ejemplo: <\/p>\n\n\n\n
ssh flo@srv-docker.it-connect.local<\/code><\/pre>\n\n\n\nA continuaci\u00f3n, introduzca deliberadamente un nombre de usuario<\/strong> y una contrase\u00f1a incorrectos<\/strong>, con el fin de generar errores de conexi\u00f3n<\/strong>. En el archivo \"\/var\/log\/auth.log<\/strong>\", esto generar\u00e1 mensajes de registro similares a los siguientes: <\/p>\n\n\n\nFailed password for invalid user it-connect from 192.168.10.199 port 50352 ssh2<\/code><\/pre>\n\n\n\nDeber\u00edas encontrar estos mensajes en Graylog.<\/p>\n\n\n\n
En Graylog, utilice el siguiente filtro de b\u00fasqueda para mostrar s\u00f3lo los mensajes coincidentes:<\/p>\n\n\n\n
message:Failed password AND application_name:sshd<\/code><\/pre>\n\n\n\nSi dispone de varios servidores y desea analizar los registros de un servidor concreto, especifique su nombre adem\u00e1s de :<\/p>\n\n\n\n
message:Failed password AND application_name:sshd AND source:srv-docker<\/code><\/pre>\n\n\n\nHe aqu\u00ed un resumen del resultado en una m\u00e1quina en la que gener\u00e9 varios errores de conexi\u00f3n, a diferentes horas del d\u00eda:<\/p>\n\n\n\nLos intentos de conexi\u00f3n infructuosos se realizan desde la m\u00e1quina con direcci\u00f3n IP \"192.168.10.199<\/strong>\". Si desea saber m\u00e1s sobre la actividad de este host, puede realizar una b\u00fasqueda en esta direcci\u00f3n IP<\/strong>. Graylog mostrar\u00e1 todos los registros en los que se haga referencia a esta direcci\u00f3n IP, en todos los hosts (para los que est\u00e9 configurado el env\u00edo de registros). <\/p>\n\n\n\nEn este caso, el filtro a utilizar puede ser :<\/p>\n\n\n\n
message:\"192.168.10.199\"<\/code><\/pre>\n\n\n\nObtenemos resultados adicionales (no es sorprendente, ya que no filtramos en la aplicaci\u00f3n SSH):<\/p>\n\n\n\nVI. Conclusi\u00f3n <\/h2>\n\n\n\n Siguiendo este tutorial, deber\u00edas ser capaz de configurar una m\u00e1quina Linux para que env\u00ede sus logs a un servidor Graylog. De esta manera, \u00a1podr\u00e1s centralizar los logs de tus hosts Linux en tu sumidero de logs! <\/p>\n\n\n\n
Para ir a\u00fan m\u00e1s lejos, considere la posibilidad de crear cuadros de mando y alertas para recibir notificaciones cuando se detecte una anomal\u00eda.<\/p>\n\n\n\nAprenda a instalar y configurar Rsyslog en Linux para reenviar registros a Graylog y gestionarlos de forma eficiente. Gu\u00eda paso a paso incluida.<\/p>\n","protected":false},"author":2,"featured_media":4477,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[23],"tags":[33],"class_list":["post-4475","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad","tag-graylog"],"acf":{"hreflang_fr":"https:\/\/www.it-connect.fr\/envoyer-les-logs-linux-vers-graylog-avec-rsyslog\/"},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t
![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Creer-un-Input-Syslog-UPD-pour-Linux.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Creer-un-Input-Syslog-UDP-pour-Linux-1.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Creer-un-Input-Syslog-UDP-pour-Linux-2.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Creer-un-Input-Syslog-UDP-pour-Linux-3.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Creer-un-nouvel-Index-pour-Linux-1.jpg\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Creer-un-nouvel-Index-pour-Linux-2.jpg\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Creer-un-nouveau-Stream-pour-Linux-1-800x331.jpg\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Creer-un-nouveau-Stream-pour-Linux-2-800x447.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Creer-un-nouveau-Stream-pour-Linux-3-800x306.jpg\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Apercu-des-journaux-Linux-800x368.jpg\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Rechercher-les-erreurs-de-connexion-SSH-dans-Graylog-800x426.jpg\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Effectuer-une-recherche-basee-sur-une-adresse-IP-800x420.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/www.it-connect.tech\/wp-content\/uploads\/2025\/02\/Graylog-Dashboard-SSH-1-800x281.jpg\")
<\/figure>\n","protected":false},"excerpt":{"rendered":"