B2-29 Journalisation : syslog, journald, centralisation

1. À quoi servent les journaux

Chaque équipement et chaque logiciel écrit, au fil de l'eau, ce qui lui arrive : un service qui démarre, une interface qui tombe, un mot de passe refusé, un disque qui se remplit. Ces lignes forment les journaux (en anglais logs). Quand tout fonctionne, personne ne les lit ; quand un incident survient, ils sont la première source d'information du technicien.

2. Lire un message syslog

Syslog est la norme de journalisation des systèmes Linux et des équipements réseau. Un message syslog contient toujours les mêmes éléments, que l'on retrouve aussi bien dans /var/log/syslog que sur un serveur central.

• Priorité (PRI)Nombre entre chevrons calculé ainsi : facilité × 8 + gravité. Il n'apparaît pas dans les fichiers lus par l'humain, mais c'est lui qui voyage sur le réseau.
• HorodatageDate et heure du message, données par l'horloge de l'équipement : elles ne sont fiables que si l'équipement est synchronisé par NTP (partie 6).
• MachineNom d'hôte ou adresse IP de l'émetteur : indispensable dès que plusieurs équipements envoient au même serveur.
• Source et gravitéProgramme ou fonction qui parle (sshd, %LINK, kernel) et niveau de gravité. Chez Cisco, le format est %FONCTION-GRAVITÉ-MNÉMONIQUE.
• MessageLe texte libre qui décrit l'événement. C'est lui que l'on cherche avec grep ou un outil d'analyse.

2.1 Les huit niveaux de gravité

Chaque message reçoit une gravité de 0 (le plus grave) à 7 (le plus bavard). On règle un seuil : un équipement réglé sur « 4 » envoie les messages de gravité 0 à 4 et ignore les autres. Plus le seuil est élevé, plus il y a de messages.

2.2 Les facilités : qui parle ?

La facilité (facility) indique la catégorie du programme qui écrit. Elle permet de ranger les messages dans des fichiers différents.

3. rsyslog sous Debian

Sous Debian, le service rsyslog reçoit les messages des programmes et les écrit dans des fichiers selon des règles. Il peut aussi les envoyer à un autre serveur et en recevoir du réseau. Sa configuration se trouve dans /etc/rsyslog.conf et dans les fichiers de /etc/rsyslog.d/ (lus dans l'ordre alphabétique).

3.1 Une règle = un sélecteur et une action

3.2 Envoyer et recevoir

Un client envoie une copie de ses messages au serveur central avec une seule ligne. Le serveur doit charger le module d'écoute (UDP, TCP ou les deux) et, de préférence, ranger chaque machine dans son propre fichier grâce à un modèle.

4. journald et journalctl

journald est le service de journalisation de systemd. Il capte tout ce qu'écrivent le noyau et les services, l'enregistre dans un format binaire indexé et le rend consultable avec journalctl. Chaque entrée garde des champs précis : service (unité), numéro de processus, priorité, démarrage (boot)… On filtre donc très vite.

5. Les journaux de Windows

Windows enregistre ses événements dans des journaux consultables avec l'Observateur d'événements (eventvwr.msc). Chaque événement porte un niveau (Critique, Erreur, Avertissement, Information, ou Succès/Échec de l'audit pour la sécurité), une source et surtout un identifiant (ID) numérique, toujours le même pour un même type d'événement.

5.1 Les identifiants à connaître

Pour regrouper les événements de plusieurs serveurs Windows, on utilise les abonnements (Windows Event Forwarding) : un serveur collecteur reçoit les événements choisis, dans son journal « Événements transférés ». Pour les envoyer vers un serveur syslog Linux, on installe un agent (NXLog, ou l'agent d'un SIEM comme Wazuh, fiche B3-13).

6. Horodater, faire tourner, conserver

6.1 Tous à la même heure

Pour reconstituer un incident, on aligne les messages de plusieurs équipements sur une même ligne de temps. Si l'horloge de SW1 a dix minutes d'avance, la panne semble arriver après sa conséquence. Tous les équipements doivent donc se synchroniser sur la même source NTP, et les équipements Cisco doivent horodater leurs messages avec la date, l'heure et les millisecondes.

6.2 Faire tourner les journaux

Un journal grossit sans fin. La rotation renomme régulièrement le fichier en cours (syslog.1), compresse les anciens (syslog.2.gz) et supprime les plus vieux. Sous Debian, c'est le rôle de logrotate, lancé chaque jour par un timer systemd.

6.3 Combien de temps conserver ?

La durée dépend de l'usage. La CNIL recommande de conserver les journaux de connexion et d'accès à un système de six mois à un an : assez pour enquêter sur un incident découvert tard, sans garder indéfiniment des données qui concernent des personnes (les journaux contiennent des identifiants et des adresses IP, ce sont des données personnelles). Les journaux de débogage, eux, se suppriment au bout de quelques jours.

7. Centraliser les journaux

Centraliser, c'est envoyer les messages de tous les équipements vers un serveur unique : on cherche au même endroit, on corrèle les événements, les journaux survivent au redémarrage ou à la compromission de l'équipement, et l'on peut déclencher des alertes. Chez Brocéliande, ce serveur s'appelle SRV-LOG (172.16.50.30, VLAN 50).

8. Dépanner la journalisation

8.1 Pannes fréquentes

8.2 Entraîne-toi : les tickets du support

Tu es de permanence au support de Brocéliande Logistique. Six tickets arrivent les uns après les autres : lis le message, observe le relevé, puis choisis la cause.

$ sudo ss -lunpt | grep 514
$ systemctl is-active rsyslog
active
$ ls /etc/rsyslog.d/
50-local.conf

SW2# show ntp status
Clock is unsynchronized, stratum 16, no reference clock
SW2# show clock
*00:47:12.104 UTC Mon Mar 1 1993

$ sudo du -sh /var/log/distants/*
 38G   /var/log/distants/r1.log
 120M  /var/log/distants/sw1.log
$ sudo tail -2 /var/log/distants/r1.log
… R1 %SYS-7-… IP: s=172.16.20.100 d=8.8.8.8, len 84, sending
… R1 %SYS-7-… IP: s=172.16.20.100 d=8.8.8.8, len 84, sending

$ journalctl --list-boots
IDX BOOT ID                          FIRST ENTRY
  0 4c1f…                            Tue 2026-10-14 06:12:40
$ ls /var/log/journal
ls: cannot access '/var/log/journal': No such file or directory

Journal : Sécurité   ID : 1102   Source : Eventlog
Le journal d'audit a été effacé.
Utilisateur : BROCELIANDE\stagiaire2

R2# show running-config | include logging
logging trap informational
logging host 172.16.50.30

9. À l'examen et en entreprise

10. L'essentiel

1. Les journaux servent à dépanner, détecter une attaque, prouver et respecter la loi : à condition d'être produits, transportés, conservés et lus.
2. Un message syslog contient une priorité (facilité × 8 + gravité), une heure, une machine, une source et un texte.
3. Gravités de 0 (emerg) à 7 (debug) : un seuil garde son niveau et tous les plus graves.
4. rsyslog : règle = facilité.gravité + action ; @ envoie en UDP, @@ en TCP, port 514.
5. Le serveur central charge imudp / imtcp et range chaque machine dans son fichier ; rsyslogd -N1 vérifie la syntaxe.
6. journalctl -u, -p, --since, -b -1, -f ; Storage=persistent pour garder l'historique.
7. Windows : Application, Système, Sécurité ; ID 4624, 4625, 4740, 4720, 1102 ; abonnements pour centraliser.
8. NTP partout et service timestamps log datetime msec : sans heure commune, pas de chronologie.
9. logrotate fait tourner et compresse ; conservation des journaux d'accès : 6 mois à 1 an (CNIL).
10. Cisco : logging host, logging trap informational, logging source-interface ; centraliser protège aussi contre l'effacement des traces.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

11. Quiz noté

12. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

13. Fil rouge : la journalisation centralisée

14. Au labo : un vrai serveur syslog sous Debian