Guide
Centraliser les logs réseau : serveur syslog maison ou service hébergé ?
Les deux fonctionnent. La différence se joue sur le temps que vous y passez, la durée de conservation et la surveillance de la collecte. Voici ce que demande chacun, avec les recommandations de l'ANSSI comme repère.
Publié le · par l’équipe Infralogs
La réponse courte
Un serveur syslog maison convient si une équipe a le temps de le faire vivre : mises à jour, stockage, sauvegardes et surveillance de la collecte. Un service hébergé convient si vous voulez seulement que les logs soient reçus, gardés le temps voulu et consultables, sans serveur à gérer. Dans les deux cas, les logs quittent l’équipement qui les produit, comme le recommande l’ANSSI.
| Serveur syslog maison | Service hébergé | |
|---|---|---|
| Mise en place | Un serveur, un logiciel de collecte, une interface de recherche | Un collecteur à déclarer, l’équipement à régler |
| Stockage | À dimensionner, surveiller et sauvegarder | Compris dans l’abonnement |
| Mises à jour du serveur | À votre charge | À la charge du prestataire |
| Durée de conservation | Rotation et purge à configurer | Réglée par le service |
| Équipement qui n’envoie plus rien | À détecter vous-même | Selon le service |
| Coût | Machine, stockage et temps passé | Abonnement annuel |
| Où sont les logs | Chez vous | Chez le prestataire : vérifiez le pays |
Pourquoi sortir les logs de l’équipement
Un pare-feu ou un routeur garde ses logs sur son propre stockage, souvent petit. Quand il est plein, les plus anciens s’effacent. Quand l’équipement tombe en panne ou qu’on le remplace, ils disparaissent avec lui.
L’ANSSI recommande de collecter les journaux de l’ensemble des équipements et de les transférer sur un ou plusieurs serveurs centraux dédiés (recommandation R9). À défaut, elle conseille au moins de les exporter vers un autre équipement. La centralisation simplifie aussi la recherche : plus besoin de se connecter à chaque boîtier, et les événements de plusieurs équipements se recoupent au même endroit.
Ce que demande un serveur syslog maison
Des logiciels libres font très bien le travail. rsyslog ou syslog-ng reçoivent les logs. Graylog, Wazuh ou OpenSearch ajoutent la recherche et les alertes. Le logiciel est gratuit, l’exploitation ne l’est pas. Le guide de l’ANSSI donne la liste de ce qu’il faut prévoir :
- un serveur durci et tenu à jour (R19), cloisonné du reste du réseau (R20) ;
- une partition réservée aux journaux, et une surveillance de l’espace disque (R21, R22) ;
- une rotation et des durées de conservation conformes à la réglementation (R24, R25) ;
- des droits d’accès limités au strict besoin, en écriture comme en lecture (R26, R27) ;
- des horloges synchronisées entre les équipements (R5), sans quoi les événements ne se recoupent pas ;
- un contrôle régulier de la couverture : vérifier que chaque équipement envoie bien ses journaux, et que les serveurs de collecte fonctionnent (R12).
Ce dernier point est le plus souvent oublié. Un équipement qui cesse d’envoyer ses logs ne fait aucun bruit. On s’en aperçoit le jour où l’on cherche une trace qui n’existe pas.
Pour la durée à retenir, notre guide Combien de temps conserver les logs d’un pare-feu ? rassemble les repères de la CNIL, de l’ANSSI et de la loi.
Ce qu’un service hébergé prend en charge
Le serveur, le stockage, les mises à jour et la suppression à l’échéance deviennent le travail du prestataire. Vous gardez les décisions : quels équipements envoyer, combien de temps garder les logs, qui peut les lire.
Avec Infralogs, vous n’avez rien à héberger ni à maintenir :
- Rien à installer sur place. Vous déclarez un collecteur par site, vous réglez le syslog de l’équipement en UDP, TCP ou TLS, et les logs arrivent en direct.
- Douze mois de conservation en France, inclus. La durée se raccourcit collecteur par collecteur, et se prolonge au-delà de douze mois sur devis. À l’échéance, les logs sont effacés automatiquement.
- Une alerte quand un équipement se tait. Vous êtes prévenu dès qu’un site n’envoie plus rien, au lieu de le découvrir le jour où vous cherchez une trace.
- Des logs lisibles, pas seulement stockés. La page Surveillance repère les connexions d’administration ou VPN suspectes. La page Sécurité montre le trafic autorisé et bloqué, par site et par période. Chaque ligne se retrouve et se télécharge dans les Journaux.
- Un parc rangé par entité et par site : une mairie, ses écoles et sa médiathèque, ou tous les clients d’un prestataire dans un seul compte.
- Les marques courantes, lues en détail : Stormshield, FortiGate, Sophos, pfSense, OPNsense, MikroTik, Omada, UniFi et les serveurs Linux.
La démo est gratuite et sans carte : trois collecteurs pendant trente jours, de quoi voir vos propres logs avant de décider. Le détail de l’offre est sur la page Centralisation des logs.