Cercare e leggere i log

La tessera Log della subscription di CSP (Central Syslog) mostra i log ricevuti, dal più recente, e permette di cercarli e scaricarli. Senza filtri la pagina mostra le ultime 24 ore.

Cercare

I filtri sono in cima alla pagina:

Filtro	Che cosa fa
Dal e Al	Il periodo
Apparato	Il nome o l'indirizzo dell'apparato
Categoria	Errori, Avvisi, Informazioni, oppure Tutte
Facility	La facility syslog, per esempio auth per gli accessi
Testo	Una parola o una frase del messaggio

Cerca applica i filtri, Ultime 24 ore li toglie. Più recenti e Meno recenti scorrono i risultati.

Per ogni log la pagina mostra Ricevuto (l'ora in cui il pannello lo ha ricevuto, nel vostro fuso orario), l'Apparato, la Severity e il Messaggio. La colonna Apparato mostra in evidenza il nome che l'apparato scrive nei suoi log, poi il nome che gli avete dato e il suo indirizzo.

L'ora di ricezione è quella con cui i log si cercano e si ordinano: è sempre giusta, anche se l'orologio di un apparato è sbagliato.

I campi dell'evento

Gli agenti Esapanel, e gli apparati che inviano syslog RFC 5424 con dati strutturati, danno a ogni log dei campi propri: per esempio Utente, Indirizzo di origine, Evento (su Windows, 4625 è un accesso fallito) ed Esito.

• Dettagli, sotto un log, mostra i suoi campi.
• Un clic su un utente o su un indirizzo (Mostra solo i log con questo valore) mostra solo i log con quel valore.
• In Campi dell'evento potete cercare per valore esatto: tutti gli accessi falliti di un utente, o tutto quello che ha fatto un indirizzo di origine. L'utente si confronta senza distinguere maiuscole e minuscole.

Esempio: chi ha provato a entrare in un server Windows

1. Filtrate l'Apparato con il nome del server.
2. In Campi dell'evento scrivete 4625 in Evento.
3. Il risultato sono gli accessi falliti. Aprite Dettagli su uno di essi e fate clic sull'Indirizzo di origine per vedere tutto quello che ha fatto quell'indirizzo.

Le interruzioni della ricezione

Una riga gialla segna un'interruzione della ricezione del server del pannello, per esempio durante un riavvio: i log che i vostri apparati hanno inviato in UDP in quell'intervallo non sono arrivati. I log inviati in TCP, o dall'agente, di solito vengono rimandati dall'apparato.

I nomi degli indirizzi

Se il vostro piano lo comprende, il pannello cerca nel DNS i nomi degli indirizzi pubblici che compaiono nei log, per esempio quelli di un attaccante nei log di un firewall, e li mostra fra parentesi dopo l'indirizzo. I log più recenti possono non avere ancora i nomi. L'opzione è spenta se non viene chiesta, perché chi gestisce il DNS di un indirizzo può vedere che è stato cercato.

Scaricare

Scarica salva i log trovati con i filtri attuali, in CSV per un foglio di calcolo o come testo syslog. Un download contiene al massimo un numero fisso di log: per un periodo lungo, scaricate a parti, per esempio un mese alla volta. I download contengono i log come sono arrivati, senza i nomi degli indirizzi.

Per scaricare serve un ruolo che lo permetta (CSP · Esportare i log).

Dove sono i log più vecchi

Il piano stabilisce per quanto tempo i log restano consultabili in questa pagina. I log più vecchi non sono persi: ogni notte passano nella tessera Archivio log, da dove si scaricano (vedi Archivi e backup dei log).

Avvisami se si ripete

Su un log, Avvisami se si ripete apre il modulo di una nuova regola degli avvisi già compilato con il testo di quel log: è il modo più veloce per essere avvisati quando un messaggio si ripresenta (vedi Gli avvisi sugli eventi).