Syslog

Syslog est un protocole et un format de message qui permet à des équipements et systèmes très divers (serveurs Linux, switchs, pare-feux, imprimantes…) d’envoyer leurs journaux d’événements vers un serveur central, dans un format commun — la base de toute centralisation de logs en infrastructure hétérogène.

Structure d’un message syslog

Chaque message porte deux métadonnées clés en plus de son contenu :

Facility : la catégorie d’origine (kernel, mail, auth, cron, ou des facilities “locales” réservées aux usages spécifiques d’un site).
Severity : le niveau de gravité, sur une échelle de 0 (emergency, système inutilisable) à 7 (debug), en passant par des niveaux intermédiaires familiers comme error (3), warning (4) ou info (6).

Ces deux valeurs combinées forment la priorité (PRI) du message, ce qui permet à un serveur de logs de trier, filtrer ou déclencher des alertes selon la gravité et l’origine, sans avoir à analyser le texte libre du message.

Transport

UDP/514 : le mode historique — rapide et simple, mais sans garantie de livraison (un message perdu sur un réseau saturé disparaît silencieusement).
TCP/514 (ou souvent 6514) : livraison garantie, préférable dès que la complétude des logs importe pour des raisons d’audit ou de conformité.
Syslog over TLS : chiffre le transport, indispensable si les logs transitent sur un réseau non maîtrisé de bout en bout ou contiennent des informations sensibles.

Pourquoi centraliser les logs

Corrélation d’incidents : reconstituer une chronologie à travers plusieurs systèmes (pare-feu, serveur web, base de données) suppose de pouvoir consulter leurs journaux au même endroit, avec des horodatages cohérents (voir NTP — sans horloges synchronisées, la corrélation devient peu fiable).
Rétention en cas de compromission : si une machine est compromise, ses logs locaux peuvent être effacés ou altérés par l’attaquant — des logs déjà exportés vers un serveur central séparé restent, eux, disponibles pour l’investigation.
Exigences de conformité : plusieurs référentiels (ISO 27001, PCI DSS, NIS2) exigent explicitement une journalisation centralisée et une durée de conservation minimale des logs de sécurité.

Écosystème courant

Un serveur syslog central classique (rsyslog, syslog-ng) reçoit les messages et les stocke ; une pile comme Elasticsearch/Logstash/Kibana (ELK) ou Grafana Loki prend souvent le relais pour l’indexation, la recherche et la visualisation à plus grande échelle.