Системийн лог

## СИСТЕМИЙН ЛОГИЙН ТАЛААРХ ҮНДСЭН ОЙЛГОЛТ 
### Логийн мэдээний ач холбогдол 
Лог гэдэг нь компьютер, сервер, сүлжээний төхөөрөмжүүдийн систем дээр явагдаж буй ажиллагааны мэдээ баримт юм. Системийн логуудыг цуглуулж хадгалж авснаар аюулгүй байдал, зохицуулалтыг хангах боломжтой. Сислог нь стандарчлагдсан хэм хэмжээгээр хангана. Үүнд ямар мессеж хаана хадгалах, хаашаа явуулахыг шийднэ. Юникс төст үйлдлийн системд зориулж зохиогдсон боловч сислог нь олон сүлжээний төхөөрөмжийн хувьд үндсэн стандарт нь юм. Зөвхөн Юникс үйлдлийн системээс гадна Виндоус платформ-д ашиглах боломжтой. Систем дээр сислог даймоноор лог мэдээ бүртгэл хийдэг. Лог мэдээг цуглуулж авна уншсанаар нэгтгэн дүгнэж асуудалтай хэсгийг хурдан олж засах боломжтойгоос гадна учирч болзошгүй эрсдэлээс сэргийлэх, аюул учруулж болохуйц гадны этгээдийн үйлдлийг зогсоож аюулгүй байдлыг хангахад тусална. Мөн ситемийн бүрэн дүн шинжлэгээ хийх  ашигтай хөтөч болж өгдөг.

Сислогийг хэрхэн ашиглаж болох талаар сонирхоё:

* Рутер, файрболл,төхөөрөмжийн эвдрэл гэмтлийл илрүүлэх /инсталл хийх үед, нөхцөл байдалд асуудал үүсэх үед/
* Халдлага илрүүлэх
* Менежмент удирлага
* Удаан хугацааны аудитинг
* Хэрэглэгчийг ажиглах болон админы үйл ажиллагаа

### Системийн лог 
Сислог бол компьютерийн өгөгдлийн мэдээнд зориулсан стандарт. Энэ нь системд үүссэн мэдээг тусад нь хүлээн авч анализ хйих боломжийг олгодог програм хангамж юм. Өөрөөр хэлбэл сислог протокол нь систем дээр явагдсан үзэгдлүүдийн мэдэгдэл мессежүүдийг IP сүлжээгээр дамжуулан системийн логийн сервер рүү илгээдэг.

Анх сислог нь 1980 онд Эрик Аллман гэдэг хүн “Sendmail” төсөл дээр ажиллаж байхдаа нэг бүрэлдэхүүн хэсэг болгон хөгжүүлсэн ба RFC3164 стандартаар тодорхойлогдсон. Энэ стандарт нь сүүлд  RFC5424 болж шинэчлэгдсэн. Сислог бий болсоноор юникс болон юникс төст үйлдлйин ситемийн стандарт шийдэл болсон юм. Сислог нь системийн админд системийг удирдан зохицуулах, анализ хийх, алдааг засах, лог мэдээг ерөнхийд нь дүгнэх мөн хамгаалалт шалгалт хийхэд хэрэглэгдэнэ. Энэ нь принтер, рутер, свич гэх мэт сүлжээнд холбогдсон бүх төхөөрөмжүүд болон тэдгээрийн үүсгэсэн үйл ажиллагааны мессежүүдийг цуглуулах ба олон платформаас мэдээг хүлээн авч чадна. Учир нь сислог төвлөрсөн нэг газарт төрөл бүрийн системүүдийн лог өгөгдлийг нэгтгэх чадвартай.

Юникс үйлдлийн системийн кернел болон бусад дотоод бүрэлдэхүүн хэсгүүд нь мессеж үүсгэх ба мөн аюулын дохио (alert) давхар үүсгэж мэдээлдэг. Энэ мессежүүд нь файл системд хадгалагдах ба эсвэл өөр төхөөрөмж рүү дахин дамжуулдаг. Сислог процессыг syslogd гэх дотоод домайн процесс зохицуулж байдаг. Энэ домайныг татаж суулгах хэрэггүй бөгөөд энэ нь ихэнх Юникс/Линукс-ийн тархац дээр нэгдмэл байдаг.Системийн логууд системд гэмтэл илрүүлэх болон хяналт хийхэд ихээхэн чухал үүрэгтэй байдаг. 
 

CISCO төхөөрөмжүүд буюу рутер, свитч, галт хана, VPN төхөөрөмжүүд нь системийн аюулгүй байдалд зориулан сислог мессеж үүсгэнэ. Жишээ нь рутер интерфэйс унтарч асах эсвэл тохиргоо өөрчлөгдсөн гэх мэт лог мэдээг үүсгэнэ. Сислог нь UDP 514, TCP 1470 порт ашиглан мессежүүдээ сонгодог.

##### Сислог мэдээг хүлээн авах 
Сислог үйлчилгээ нь өөрийн цуглуулсан мэдээллийг хэд хэдэн төрлийн хүлээн авагч руу дамжуулах боломжтой.

* Logging buffer (Төхөөрөмжийн санах ойд хадгалах)
* Console Line (Консол холболтоор холбогдсон үед CLI рүү мэдээлэх)
* Terminal Line (Telnet, SSH холболтоор холбогдсон үед CLI рүү мэдээлэх )
* Syslog server(Бие даасан сервер ашиглан мэдээллийг цуглуулах)
 

RFC 5424 стандартаар тодорхойлогдсон аюултай байдлын түвшин:

##### Syslog мэдээний бүтэц 
Cisco төхөөрөмжийн log мэдээний бүтэц

Cisco төхөөрөмжийн log мэдээний жишээ:

seq no: timestamp: %facility-severityMNEMONIC: description00:00:46: %LINK-3-UPDOWN: Interface Port-channel1, changed state to up
Syslog server нь төхөөрөмжүүдийн мэдээллийг цуглуулж  хэрэглэгчид тэдгээрийг ойлгомжтойгоор харуулах боломжийг олгодог.
• Олон төхөөрөмжийн мэдээллийг нэг серверийн тусламжтайгаар цуглуулах, мэдээн дээр ажиллах боломжтой.

Syslog-ийн шийдлүүдэд  олон үйлдлийн системүүд байдаг. Тусгай тохиргооны янз бүрийн төхөөрөмж (жишээ нь, консол), файлууд (өөрөөр хэлбэл / VAR / log /), эсвэл алсын Syslog серверт мессежийг удирдаж зөвшөөрч болно. Ихэнх шийдлүүд бүртгэл уруу мессеж илгээж болно ихэвчлэн лог гэгддэг тушаалын мөрөөс. Зарим шийдлүүд Syslog мэдээнүүдийг шүүх болон дэлгэцэнд харуулахыг зөвшөөрдөг.

2009 онд Syslog нь Internet Engeneering Task Force (IETF-ийн) RFC 5424-д стандартчилагдсан.

Протокол:

Syslog нь клиент / сервер протокол юм: Syslog хүлээн авагч руу текст мессеж-г  log-ын application-аар дамжуулдаг.Хүлээн авагчыг ихэвчилэн Syslog дэмон буюу Syslog сервер, Syslogd гэж нэрлэдэг.Syslog мэдээллүүд нь User Datagram Protocol (UDP), эсвэл Transmission Control Protocol (TCP) дамжуулан илгээгдэж болно. Мэдээ цэвэр текстээр илгээсэн байна; Syslog протокол нь өөрөө нэг хэсэг нь биш боловч тухайн SSL хялбаршуулагч нь SSL / TLS дамжуулан шифрлэлтээр нь давхар ханган ашиглаж болно. Syslog портын дугаар 514-ыг ашигладаг.
RFC 3164-ын  тодорхойлолт нь олон протоколын асуудлыг зааж өгөөгүй ба мессежийн дээд хэмжээ ба мессежийн текст тэмдэгтийн кодлол зэргийг зааж өгөөгүй юм. RFC 5424 илүү дэлгэрэнгүй мэдээлэлтэй. Бусдын дунд, шийдлүүд наад зах нь 480 октэтийн хамгийн бага мессеж хэмжээг дэмжих ёстой, мөн 2048 октэтийг дэмжих ёстой; мэдээллүүд нь UTF-8 гэж кодлогдсон байх ёстой.

##### Нөөц 
Үйлдлийн систем, процесс эсвэл аппликейшнээр үүсгэгдсэн байвал нөөцөд хамаарна. CISCO төхөөрөмжүүд дотооддоо нөөц лог хэрэглэдэг. Мөн програмын хөгжүүлэгчид програмууд  ямар тоног төхөөрөмжийг ашиглахыг шийддэг.

Зарим тохиолдолд эдгээрийн эцсийн хэрэглэгчид өөрсдөө тохируулж өгөх боломжоор хангагдсан байдаг. Ялгаатай нөөцөөс ирсэн мессежүүд системийн логийн тохиргоооны файлыг зассанаар удирдах боломжтой байдаг. 

##### Тайлбар 
 Үйлдлийн системээсээ хамаараад 4, 10, 13, 14-ийг нууцлал, аудит, сэрэмжлүүлэг мессеж болгон ашигладаг.Мөн үйлдлийн системээсээ шалтгаалан 9,15-г цагны мессежүүдэд ашигладаг. Програм, техник  хангамжийн асуудлыг мэдэгдэх зорилгоор 0,1 дугаартай нөөцийг хэрэглэдэг. Систем дахин эхлүүлэх, интерфэйс унтарч асах нь 5 дугаарыг хэрэглэнэ.Систем дахин ачааллахад 6 дугаар хэрэглэнэ.

##### Хувилбар 
 Энэ талбар нь сислог протоколын төрллийг заана. 1 гэсэн утгатай.

##### Хостын нэр 
 Төхөөрөмжийн нэр, IP хаягийг бүртгэнэ. Сислог нь эдгээрийг ашиглан мессежүүдээ дамжуулна.

##### Хугацаа 
 Сар Өдөр Цаг:  Минут : Секунд гэсэн загвартай хэзээ мессеж үүсгэгдсэнийг заана [*]
Бүх сүлжээнд байгаа төхөөрөмжүүд дээр NTP/ network time protocol / протоколоор цагаа тохируулах нь сүлжээний логуудыг цуглуулахад дөхөм болно.

##### Мэдээллийн нэгж 
 Төхөөрөмжийн тусгай код буюу мессеж таних код.

##### Процессын дугаар 
 Процессын дугаар нь мессеж ялган танихад хэрэглэгдэнэ.

##### Мессеж 
 Сислог мессеж дэх текст юм. Мөн нэмэлт мэдээлэл агуулдаг. [%] тэмдэгтээр эхэлдэг. Текст UTP-8 кодлолтой.
Бүтэцлэгдсэн өгөгдөл
Бүтэцлэгдсэн өгөгдөл нь хашилтан дахь өгөгдлийн блокуудаас бүрдэнэ. Блок бүр нь тухайн блокын ID мөн нэг ба түүнээс олон утгыг агуулдаг.
	
### Сислог серверийн тухай 
Сислог сервер нь сүлжээнд байгаа төхөөрөмжүүд болон сүлжээн дээр явагдах үйлчилгээнүүдийн логийг цуглуулдаг. Өөрөөр хэлбэл төхөөрөмж бүрийн үүрэг ондоо учир ялгаатай лог мессеж үүснэ. Сислог сервер нь эдгээр мессежийг цуглуулж бүртгэж авахаас гадна ангилах боломжтойгоос гадна гүйцэтгэх үүрэг, фүнкцээрээ ялгаатай олон сислог сервер байдаг.
* Kiwi syslog daemon – Виндоус үйлдлийн систем дэмжинэ. 
* Unix syslogd – Юникс үйлдлийн систем дэмжинэ.
* Cisco PIX Firewall Syslog server – Cisco төхөөрөмжүүдийн лог мэдээг цуглуулах боломжтой cisco–с гаргасан төхөөрөмж юм.
* Syslog server – Сүлжээний нууцлал хамгаалалт болон галт хананд анализ хийх.
* Samwill – Сислог серверт анализ хийх

Лог серверүүд лог цуглуулахаас гадна логд анализ хийх ангилах боломжтой байх хэрэгтэй. Зөвхөн дан ганц лог мэдээ цуглуулах нь дутагдалтай учир олон төрлийн фүнкцүүдтэй байх нь лог серверийг ашиглах хэрэгцээ шаардлагыг улам нэмэгдүүлж байгаа юм.

Лог серверийг илүү уян хатан оновчтой байлгах талаас лог менежемент систем бий болсон. Лог менежмент систем нь лог мэдээг байгууллага болон хувийн хэрэгцээндээ хэрхэн үр ашигтай ажиллах боломжийг бий болгосон юм.

### Интернэтийн стандартууд 
Syslog протокол Internet стандарт (Internet engineering task force) баримт бичгийг хүсэлтээр RFC (Request for comment) тодорхойлогдсон. Доорх нь Syslog протоколыг тодорхойлсон RFCs жагсаалт: 

RFC 3164 - BSD Syslog протокол ( RFC 5424-р хуучирч ашиглагдахаа болисон)
RFC 3195 -  Syslog –д найдвартай илгээх
RFC 5424 -  Syslog-н протокол
RFC 5425 – Syslog-н дамжууллын зураглал /TLS/
RFC 5426 -  UDP дээр Syslog мессежийг дамжуулах
RFC 5427 - Syslog менежментийн Текстэн конвенц
RFC 5848 – бүртгэгдсэн  Syslog Мессеж
RFC 6012 - Datagram дамжууллын түвшний Аюулгүй байдал (DTLS) Syslog нь дамжуулалын зураглал
RFC 6587 -  TCP дээр Syslog мессежүүдийг дамжуулах

**Log server-үүд**

* SolarWinds – Kiwi syslog server
* Paessler – Syslog server
* SNMP soft - Syslog watcher
* The one software – Syslog manager
* WhatsUpGold – Log Management
* LogZilla
## Гадаад холбоос 
https://web.archive.org/web/20160316134409/http://www.rfc-base.org/rfc-5424.html
http://www.cisco.com/c/en/us/td/docs/wireless/access_point/12-2_15_JA/configuration/guide/i12215sc/s15sml.html
http://www.ciscopress.com/articles/article.asp?p=426638
http://www.kiwisyslog.com/help/syslog/index.html?protocol_levels.htm
https://web.archive.org/web/20160403102636/http://www.solarwinds.com/documentation/en/flarehelp/ncm/content/syslogpriorities.htm