syslog の転送の構成

Syslog を使用してアクセス・イベントとキャッシュ・イベントを転送するように Squid を構成できます。

1. SSH を使用して Squid デバイスのコマンド・ライン・インターフェースにログインします。
2. 以下のファイルを開きます。
   /etc/rc3.d/S99local

   注: /etc/rc3.d/S99local が存在しない場合は、 /etc/rc.d/rc.localを使用してください。
3. 以下の行を追加します。

   tail -f /var/log/squid/access.log | logger -p <facility>.<priority> &

   • < facility> は、任意の有効な syslog ファシリティーであり、 authpriv、 daemon、 local0 などの小文字で local7、または userに書き込まれます。

   • <priority> は、 err、 warning、 notice、 info、 debugなど、小文字で書かれた任意の有効な優先順位です。
4. ファイルを保存して閉じます。

   ロギングは、システムの次回再始動時に開始されます。

5. ロギングをすぐに開始するには、以下のコマンドを入力します。

   nohup sh -c "tail -f /var/log/squid/access.log | logger -p <facility>.<priority>" &

   <facility> and <priority> オプションは、入力した値と同じものです。

6. 以下のファイルを開きます。
   /etc/syslog.conf

   注: rsyslog を使用する場合は、 /etc/syslog.confではなく /etc/rsyslog.conf を開きます。
7. 以下の行を追加して、ログを QRadarに送信します。

   <facility>.<priority> @<QRadar_IP_address>

   Squid メッセージに対する優先順位とファシリティー、および QRadar の IP アドレスを次の例に示します。

   local4.info @<IP_address>

8. access_log フォーマットの末尾が commonであることを確認します。
   例:

   access_log /path/to/access.log common

   access_log 形式の終了値が squid の場合、例に示すように squid を common に変更します。

   access_log 形式に終了値がない場合、Squid conf ファイルに以下の行を追加して、httpd ログ・ファイル・エミュレーションをオンにします。

   emulate_httpd_log on

9. 次のオプションのいずれかを選択してください。
   • Squid サービスを再開するために、次のコマンドを入力します。

     service squid restart

   • サービスを再開せずに構成を再ロードするために、次のコマンドを入力します。

     /usr/sbin/squid -k reconfigure

10. ファイルを保存して閉じます。
11. 以下のコマンドを入力して、syslog デーモンを再始動します。

    /etc/init.d/syslog restart

    Squid の構成方法について詳しくは、ベンダーの資料を参照してください。