Gli apparati e la quarantena
In CSP (Central Syslog) un apparato è un server o un dispositivo di rete che invia i suoi log alla subscription. Solo i log degli apparati entrano nella subscription; quelli di un mittente sconosciuto aspettano nella Quarantena.
Come aggiungere un apparato e configurarlo è spiegato in Inviare i log al pannello. Questa pagina spiega come tenere in ordine gli apparati nel tempo: la lista, la pagina di ciascuno, la quarantena e i codici.
La lista degli apparati
La tessera Apparati della subscription mostra in alto il riquadro Invio dei log, con il server e le porte, e sotto la lista degli apparati. Il conteggio in alto, per esempio "3 di 10 apparati", dice quanti apparati consente il piano.
Per ogni apparato la lista mostra:
- il nome che gli avete dato e il Modello;
- Riconosciuto da: l'indirizzo IP, la rete, il nome DNS, il nome apparato o l'Agente Esapanel. Per un nome DNS la lista dice anche in che cosa risolve adesso;
- Ultimo log: "Ultimo log da
<indirizzo>,<quando>", oppure "Ancora nessun log". Per un agente, "Agente<versione>, ultimo battito<quando>"; - Fuso orario e Avvisa se tace da, che si cambiano direttamente nella riga con Salva.
Rimuovi toglie un apparato: i suoi log successivi andranno nella quarantena, e il suo posto nel limite del piano si libera. I log che ha già inviato restano.
Avvisa se tace da
Avvisa se tace da (Mai, 15 minuti, 1 ora, 6 ore, 24 ore) fa partire un'email quando l'apparato non invia log da più di quel tempo, e un'altra quando riprende. Un apparato silenzioso mostra "Silenziosa dal …".
Sceglietelo per gli apparati che inviano di continuo, come un firewall o un server con l'agente: molti apparati inviano solo quando succede qualcosa, e darebbero falsi allarmi. Il tempo in cui il server del pannello stesso non riceveva non conta.
Il fuso orario
Molti apparati scrivono nei log l'ora del loro orologio senza dire il fuso (syslog RFC 3164). Il Fuso orario dell'apparato, per esempio Europe/Rome, permette al pannello di trasformare quell'ora nell'istante giusto, ora legale compresa. Ora così come arriva la lascia com'è. Un cambio vale per i log successivi.
La pagina di un apparato
Il nome di un apparato nella lista apre la sua pagina, con le istruzioni per configurarlo già compilate. Qui potete:
- cambiare il Nome dell'apparato e il Modello: le istruzioni seguono il modello;
- scegliere il Profilo dei log (vedi sotto);
- vedere quando è arrivato l'ultimo log. Finché non arriva il primo, la pagina lo dice e si aggiorna da sola.
Un apparato autorizzato dalla quarantena non ha ancora un modello: sceglietelo qui per vedere le istruzioni.
Il profilo dei log
Il Profilo dei log è il modo in cui il pannello legge i log dell'apparato per riconoscere gli eventi: accessi, cambi di configurazione, traffico bloccato, VPN. Da questi eventi nascono la sezione Eventi dell'Analisi, una parte dei report e gli avvisi sugli eventi.
- Automatico, la scelta normale, usa il profilo del modello, oppure lo riconosce dai log.
- Generic text (by words) è per un apparato che nessun profilo legge: cerca parole come "login failed" o "denied". I suoi eventi non fanno partire avvisi.
- Nessuno non legge niente.
Ci sono profili per Linux, Windows, DrayTek Vigor, pfSense / OPNsense, MikroTik, Fortinet, Sophos, SonicWall, Zyxel, WatchGuard, Check Point, Cisco ASA e IOS, switch Aruba, gateway UniFi, Synology e QNAP, e profili generici per gli apparati che inviano CEF / LEEF, chiave=valore o iptables.
Riconoscilo come …
Alcuni apparati, come i DrayTek Vigor, non scrivono il loro nome dove il pannello se lo aspetta, e risultano con il nome inverso del loro indirizzo. In questo caso la pagina propone Riconoscilo come seguito dal nome che l'apparato scrive davvero: da allora l'apparato viene accettato con quel nome da qualsiasi indirizzo, anche quando una linea di backup cambia l'indirizzo.
Un agente
Per un agente la pagina dice fino a quando è valido il suo certificato client: l'agente lo rinnova da solo un mese prima della scadenza. Per un agente già iscritto la pagina mostra i comandi che lo aggiornano senza creare un nuovo apparato.
La quarantena
La tessera Quarantena raccoglie i log arrivati sulle porte della subscription da mittenti che non sono fra gli apparati. Il numero sulla tessera dice quanti mittenti aspettano. I log restano qualche giorno, poi vengono eliminati; oltre un limite giornaliero la quarantena li conta soltanto, senza conservarli.
I mittenti sono raggruppati per Indirizzo e Nome apparato, con il numero di log e il periodo. Per ognuno:
| Pulsante | Che cosa fa |
|---|---|
| Autorizza l'indirizzo | Il mittente diventa un apparato riconosciuto dal suo indirizzo, e i suoi log in quarantena passano nella subscription |
| Autorizza il nome apparato | Lo stesso, riconosciuto dal nome che scrive nei log, da qualsiasi indirizzo |
| Scarta | Elimina i suoi log in quarantena; i successivi tornano qui |
| Ignora l'indirizzo / Ignora il nome | I suoi log vengono scartati all'arrivo e solo contati, e quelli in quarantena eliminati |
Prima di autorizzare potete scegliere il Profilo del mittente: Riconosci da solo di solito basta. Il profilo dice anche dove il mittente scrive il suo nome. Se non ne scrive uno proprio, il pannello permette di autorizzare solo l'indirizzo.
Un mittente autorizzato conta fra gli apparati del piano. Se il mittente era già un apparato, per esempio aggiunto nel frattempo dalla pagina Apparati, l'autorizzazione sposta soltanto i log rimasti in quarantena.
Mittenti ignorati
L'elenco Mittenti ignorati mostra i mittenti ignorati e quanti log hanno inviato da allora. Non ignorare più riporta i loro prossimi log in quarantena.
Ignorate solo mittenti che conoscete e non volete, come un apparato di prova: i loro log sono persi. Non serve ignorare gli scanner di Internet, che il firewall del server blocca comunque.
Quando guardare la quarantena
- Un apparato appena configurato non risulta: i suoi log sono quasi sempre in quarantena, con un indirizzo diverso da quello inserito. Autorizzatelo da qui, oppure correggete l'indirizzo nella lista Apparati e rimuovete quello sbagliato.
- Arriva l'email di un apparato silenzioso che segnala log in quarantena: l'apparato ha probabilmente cambiato indirizzo.
I codici degli agenti e dei link
In fondo alla pagina Apparati, Codici degli agenti e dei link contiene i due codici che usano le istruzioni dei server:
- il codice degli agenti iscrive agenti nella subscription: chi lo ha può aggiungere un apparato, entro il limite del piano. Datelo solo a chi installa l'agente;
- il codice dei link sta nei link che scaricano la configurazione di rsyslog. Questi link non contengono segreti, solo il nome, l'indirizzo e la porta.
Date un Codice nuovo (per i link, Codice nuovo per i link) quando un codice è finito dove non doveva. Gli agenti già iscritti e i server già configurati continuano a funzionare; smettono di funzionare solo i comandi copiati prima.
Le porte 514 e 6514
Quando la subscription riceve su un indirizzo IP dedicato, nella pagina Apparati potete attivare anche la porta standard 514 (syslog) e la 6514 (syslog su TLS), per gli apparati che non permettono di scegliere la porta. I dettagli sono in Inviare i log al pannello.