Cómo enviar el registro de auditoría a su propio syslog o SIEM

Guía Servidor y seguridad auditsyslogsiemtlsgraylogsplunk

Exporte la auditoría fuera del nodo por TLS verificado usando syslog RFC 5424, con una CA privada si la necesita.

El registro de auditoría guarda quién hizo qué, cuándo, desde dónde y sobre qué, incluidos los administradores. Exportarlo fuera del nodo es la única protección si el nodo mismo queda comprometido.

Pasos

1. Verifique si se está enviando:

   panel auditoria-externa

2. Fije el destino:

   panel auditoria-externa-destino syslog+tls://logs.ejemplo.com:6514

3. Si su SIEM usa una CA privada, suba esa CA en Seguridad, Auditoría. Se confía sólo para ese destino.
4. Verifique que las entradas lleguen. El formato es syslog RFC 5424 con entramado por conteo de octetos, que entienden rsyslog, Graylog y Splunk.

Notas

• Con syslog+tls:// el certificado del servidor siempre se verifica; no hay ningún interruptor para omitirlo. El syslog:// sin cifrar se acepta para redes internas de confianza.
• Si el destino está caído, las entradas se encolan y se reintentan, y el asesor avisa mientras el envío esté trabado.
• Para desactivarlo use - como destino. Esa acción también se envía antes de detenerse.

Actualizado: 2026-10-10