Masalah
Aplikasi mengatakan log sudah dikirim, tetapi event belum terlihat di SIEM. Kegagalan dapat terjadi pada generation, transport, listener, parsing, queue, atau ingestion.
TutorialObservabilityPemula
Mengenal Syslog: TCP vs UDP dan bagaimana log dikirim ke SIEM
Pahami perbedaan transport TCP dan UDP untuk syslog, lalu lakukan pengujian sederhana tanpa menganggap pengiriman sama dengan ingestion.
Tujuan latihan
Membedakan format syslog, transport, delivery, dan ingestion pada pipeline log.
PersiapanLinux dengan utilitas logger dan server syslog lab yang Anda kelola. Jangan mengirim data sensitif ke collector publik.
Application→
Syslog transport→
SIEM/collector
1. Pisahkan protocol dan transport
RFC 5424 mendefinisikan format/protocol syslog secara transport-independent. Implementasi dapat membawanya melalui transport berbeda; konfigurasi collector harus cocok dengan sender.
2. UDP
UDP tidak membangun session dan tidak memberi acknowledgment end-to-end pada level transport. Overhead rendah, tetapi sender tidak mengetahui apakah datagram benar-benar diterima aplikasi collector.
3. TCP
TCP membuat connection dan menyediakan retransmission/order pada level transport. Keberhasilan connect atau send tetap tidak membuktikan event sudah diparse dan diindeks SIEM.
4. Kirim test message
Gunakan alamat TEST-NET pada contoh; ganti dengan collector lab Anda. Opsi logger berbeda antar implementasi, jadi periksa man page lokal.
logger --server 192.0.2.10 --port 514 --udp 'cloudnetworklab test udp'\nlogger --server 192.0.2.10 --port 514 --tcp 'cloudnetworklab test tcp'5. Verifikasi berlapis
Periksa listener dengan ss, packet capture bila diizinkan, log collector, lalu search/index SIEM. Timestamp dan timezone harus dicatat agar delay tidak disalahartikan sebagai loss.
6. Verifikasi listener dan jalur transport
Sebelum menyalahkan SIEM parser, pastikan collector benar-benar listen pada address/port dan transport yang diharapkan. ss dapat menunjukkan listener lokal; packet capture terarah dapat membuktikan apakah packet tiba jika Anda memiliki izin.
ss -lntup | grep ':514'7. Bedakan delivery, parsing, dan indexing
Packet yang tiba di collector belum berarti event dapat dicari. Setelah transport terbukti, periksa parser, timestamp, source type, queue/backpressure, index/dataset, dan permission pencarian. Tahap ini mencegah troubleshooting berputar pada firewall ketika masalah sebenarnya parsing.
Kesalahan umum
Jangan mengirim test yang berisi secret atau data customer. Jangan menganggap TCP menjamin ingestion SIEM; TCP hanya meningkatkan reliability transport. Jangan mengabaikan timezone karena event yang berhasil masuk dapat terlihat 'hilang' jika pencarian memakai window waktu salah.
Checklist verifikasi
Catat sender, destination, protocol, port, timestamp/timezone, listener, packet arrival, collector processing, dan keberadaan event di index/search. Gunakan message marker unik pada lab agar satu test mudah dilacak end-to-end.
Pelajaran
TCP dapat meningkatkan reliability transport dibanding UDP, tetapi pipeline logging tetap memiliki banyak tahap. Selalu bedakan 'packet terkirim' dari 'event tersedia untuk dicari di SIEM'.