Configuration du transfert syslog

Vous pouvez configurer Squid pour utiliser syslog pour transférer vos événements d'accès et de cache.

1. Utilisez SSH pour vous connecter à l'interface de ligne de commande de l'unité Squid.
2. Ouvrez le fichier suivant :
   /etc/rc3.d/S99local

   Remarque: Si /etc/rc3.d/S99local n'existe pas, utilisez /etc/rc.d/rc.local.
3. Ajoutez la ligne suivante :

   tail -f /var/log/squid/access.log | logger -p <facility>.<priority> &

   • < facility> est une fonction syslog valide, écrite en minuscules, telle que authpriv, daemon, local0 dans local7ou user.

   • <priority> est une priorité valide écrite en minuscules, telle que err, warning, notice, info, debug.
4. Sauvegardez le fichier et fermez-le.

   La journalisation commence au prochain redémarrage du système.

5. Pour commencer à vous connecter immédiatement, entrez la commande suivante :

   nohup sh -c "tail -f /var/log/squid/access.log | logger -p <facility>.<priority>" &

   Les options <installation> et <priorité> sont les mêmes que celles entrées.

6. Ouvrez le fichier suivant :
   /etc/syslog.conf

   Remarque: Lorsque vous utilisez rsyslog, ouvrez /etc/rsyslog.conf au lieu de /etc/syslog.conf.
7. Ajoutez la ligne suivante pour envoyer les journaux à QRadar:

   <facility>.<priority> @<QRadar_IP_address>

   L'exemple suivant montre une priorité et une fonction pour les messages Squid et une adresse IP QRadar:

   local4.info @<IP_address>

8. Vérifiez que le format access_log se termine par common.
   Exemple :

   access_log /path/to/access.log common

   Si la valeur de fin de format access_log est squid, remplacez squid par common comme indiqué dans l'exemple.

   Si le format access_log n'a pas de valeur de fin, ajoutez la ligne suivante au fichier Squid conf pour activer l'émulation du fichier journal httpd :

   emulate_httpd_log on

9. Choisissez l'une des options suivantes :
   • Pour redémarrer le service Squid, entrez la commande suivante :

     service squid restart

   • Pour recharger la configuration sans redémarrer le service, entrez la commande suivante :

     /usr/sbin/squid -k reconfigure

10. Sauvegardez le fichier et fermez-le.
11. Entrez la commande suivante pour démarrer le démon syslog :

    /etc/init.d/syslog restart

    Pour plus d'informations sur la configuration de Squid, voir la documentation de votre fournisseur.