Прием и обработка журналов в Логикор выполняется компонентом Saturn, внутри которого работает модифицированный инструмент для сбора, преобразования и доставки логических событий Logstash.
В базовой поставке Saturn предоставляет, но не ограничивается, несколькими базовыми интерфейсами для приема данных:
- Beats — используется для подключения журналов аудита источников;
- Syslog — используется для подключения источников, отправляющих данные по протоколу SYSLOG, такие как:
- Linux\Unix файлы журналы — sshd, pam, boot, auth, messages, kern и т.д.;
- сетевое оборудование — Palo Alto, Cisco, UserGate;
- ПО, отправляющее записи журналов по протоколу SYSLOG (или с использованием ППО rsyslog, syslog-ng, и подобных), например, веб-серверы (Apache/Nginx): /var/log/apache2/, /var/log/httpd/, /var/log/nginx/ (access.log, error.log), базы данных (MySQL/PostgreSQL): /var/log/mysql.log, /var/log/mysqld.log, /var/lib/postgres/.../pg_log, почтовые серверы: /var/log/mail.log, /var/log/exim4/, планировщик задач (cron): /var/log/cron.
- File — используется для чтения журналов напрямую из файловой системы.
Saturn может принимать данные в нескольких режимах:
- пассивный прием данных по протоколу syslog;
- пересылка данных с помощью агента Winlogbeat, устанавливаемого на сервера и АРМ на базе Windows;
- активный сбор данных со стороны Saturn.
Ниже приведена сводная таблица по источникам, типам приема, документации и заметок: