Installer la sonde, équipement par équipement

1. Log & Report, puis Log Settings : cochez « Send logs to Syslog Server », donnez l'adresse de la sonde et le port 5514. Ou, en ligne de commande, le bloc ci-dessous.
2. Appliquez un profil de filtrage web (champ hostname) ou de filtrage DNS (champ qname) sur les règles qui sortent vers Internet, avec la journalisation des événements de sécurité (logtraffic utm).
3. Pour les noms d'utilisateur plutôt que les adresses IP : des règles dont la source est un utilisateur ou un groupe (FSSO, par exemple).

config log syslogd setting
    set status enable
    set server "192.168.1.20"
    set port 5514
    set mode udp
    set format default
end

Une ligne que la sonde reconnaît :

type="utm" subtype="dns" eventtype="dns-query" srcip=10.1.100.18 qname="chatgpt.com" qtype="A"

Relu dans la documentation officielle : config log syslogd setting, Log settings, Include usernames in logs. Le 23 octobre 2026. Les menus changent d'une version à l'autre : en cas d'écart, suivez la documentation de votre version.

1. Configuration, puis Notifications, puis Logs - Syslog - IPFIX, onglet SYSLOG : éditez un profil.
2. Serveur syslog : un objet machine pour la sonde. Protocole UDP ou TCP, port 5514 (un objet port), format LEGACY-LONG.
3. Dans les propriétés avancées, journaux activés : Web (le proxy HTTP), SSL et Connexion. Appliquez, puis activez le profil (double-clic sur son état).
4. Le filtrage URL ou le proxy HTTP doit être actif pour que les journaux Web existent ; les noms d'utilisateur viennent de l'authentification sur le pare-feu (champ user).

Les journaux Stormshield sont en paires champ=valeur (src, user, dst, dstname, arg). La documentation ne donne pas d'exemple complet d'un journal Web : envoyez-nous une ligne réelle si la sonde ne reconnaît rien, nous ajusterons.

Relu dans la documentation officielle : Syslog tab, Description of audit logs. Le 23 octobre 2026. Les menus changent d'une version à l'autre : en cas d'écart, suivez la documentation de votre version.

1. Device, puis Server Profiles, puis Syslog : ajoutez un profil, serveur 192.168.1.20, transport UDP ou TCP, port 5514, format BSD.
2. Onglet Custom Log Format, journal URL : un format en paires champ=valeur, ci-dessous. Le format CSV par défaut ne nomme pas ses champs.
3. Objects, puis Log Forwarding : un profil qui envoie les journaux URL vers ce serveur syslog.
4. Policies, puis Security : sur les règles qui sortent vers Internet, un profil de filtrage URL, et le profil de transfert dans l'onglet Actions.

src=$src user=$srcuser url=$misc

Une ligne que la sonde reconnaît :

src=10.0.0.4 user=ad\lea url=chatgpt.com/c/1

src, srcuser et misc (l'adresse visitée) sont les champs du journal URL dans la documentation ; l'écriture « $champ » du format personnalisé vient des guides d'intégration, à vérifier dans votre version.

Relu dans la documentation officielle : Configure Syslog Monitoring, URL Filtering Log Fields. Le 23 octobre 2026. Les menus changent d'une version à l'autre : en cas d'écart, suivez la documentation de votre version.

1. System services, puis Log settings, puis Syslog servers : Add. Adresse de la sonde, port 5514, format « Device Standard Format » (celui qui sert à un serveur syslog tiers).
2. Sur la page Log settings, cochez pour ce serveur les journaux de filtrage de contenu (web et applications).
3. Sur les règles qui sortent vers Internet, cochez « Log firewall traffic ».

Une ligne que la sonde reconnaît :

log_type="Content Filtering" user_name="camille" url="https://claude.ai/new" src_ip=10.0.0.9 domain="claude.ai"

Relu dans la documentation officielle : Add a syslog server, Sophos Firewall syslog reference. Le 23 octobre 2026. Les menus changent d'une version à l'autre : en cas d'écart, suivez la documentation de votre version.

1. Services, puis DNS Resolver : dans Custom Options, ajoutez les deux lignes ci-dessous (ou, dans Advanced, un niveau de journal 3).
2. Status, puis System Logs, puis Settings : cochez « Send log messages to remote syslog server », serveur 192.168.1.20:5514, contenu « DNS Events ».
3. Le syslog intégré de pfSense n'envoie qu'en UDP : la sonde l'accepte.

server:
log-queries: yes

Une ligne que la sonde reconnaît :

unbound[96103]: [96103:0] info: 192.168.1.100 claude.ai. A IN

Relu dans la documentation officielle : Remote Logging, Troubleshooting DNS Queries. Le 23 octobre 2026. Les menus changent d'une version à l'autre : en cas d'écart, suivez la documentation de votre version.

1. Services, puis Unbound DNS, puis Advanced : cochez « Log Queries ».
2. System, puis Settings, puis Logging, onglet Remote : ajoutez une destination, adresse 192.168.1.20, port 5514, application unbound (ou toutes).

Une ligne que la sonde reconnaît :

unbound: [12345:0] info: 192.168.1.100 claude.ai. A IN

Relu dans la documentation officielle : Settings, Unbound DNS. Le 23 octobre 2026. Les menus changent d'une version à l'autre : en cas d'écart, suivez la documentation de votre version.

1. Dans squid.conf, envoyez le journal d'accès à syslog, au format natif.
2. Dans rsyslog, transmettez cette facilité à la sonde (@ pour UDP, @@ pour TCP), puis redémarrez Squid et rsyslog.
3. Le nom d'utilisateur n'apparaît que si le proxy demande une authentification.

# /etc/squid/squid.conf
access_log syslog:local4.info squid

# /etc/rsyslog.d/lanterne.conf
local4.* @192.168.1.20:5514

Une ligne que la sonde reconnaît :

1792665000.123 45 10.0.0.5 TCP_TUNNEL/200 3412 CONNECT perplexity.ai:443 - HIER_DIRECT/104.18.26.48 -

Relu dans la documentation officielle : access_log, logformat. Le 23 octobre 2026. Les menus changent d'une version à l'autre : en cas d'écart, suivez la documentation de votre version.

1. Dans named.conf, un canal syslog pour la catégorie queries : il active aussi la journalisation des requêtes.
2. Dans rsyslog, transmettez cette facilité à la sonde, puis rechargez BIND (rndc reconfig) et rsyslog.

# named.conf
logging {
    channel lanterne { syslog local3; severity info; };
    category queries { lanterne; };
};

# /etc/rsyslog.d/lanterne.conf
local3.* @192.168.1.20:5514

Une ligne que la sonde reconnaît :

client @0x7f91b8005490 10.0.0.21#62536 (chatgpt.com): query: chatgpt.com IN AAAA +E(0)K (10.0.0.2)

Relu dans la documentation officielle : BIND 9 Configuration Reference. Le 23 octobre 2026. Les menus changent d'une version à l'autre : en cas d'écart, suivez la documentation de votre version.

1. Gestionnaire DNS, clic droit sur le serveur, Propriétés, onglet « Debug Logging » : cochez « Log packets for debugging », sens « Incoming », « Queries/Transfers », UDP et TCP, type « Request ». (Les libellés sont ceux de la documentation, en anglais.)
2. Windows n'envoie pas de syslog de lui-même : installez un agent qui lit le fichier dns.log et l'envoie à la sonde, par exemple NXLog (configuration ci-dessous).
3. Les postes y sont reconnus à leur adresse IP ; l'export d'Active Directory que lit la sonde (export-ad.ps1) donne leur service.

<Input dns>
    Module  im_file
    File    'C:\Windows\System32\dns\dns.log'
</Input>
<Output lanterne>
    Module  om_udp
    Host    192.168.1.20:5514
</Output>
<Route dns_to_lanterne>
    Path    dns => lanterne
</Route>

Une ligne que la sonde reconnaît :

10/23/2026 10:00:01 AM 16A0 PACKET 00000294802C0170 UDP Rcv 10.0.0.47 6a7f Q [0001 D NOERROR] A (7)chatgpt(3)com(0)

Microsoft ne documente pas d'envoi en syslog : l'agent est un choix de votre part, NXLog n'en est qu'un exemple, et sa syntaxe varie selon la version.

Relu dans la documentation officielle : Enable DNS Logging and Diagnostics in Windows Server, NXLog om_udp. Le 23 octobre 2026. Les menus changent d'une version à l'autre : en cas d'écart, suivez la documentation de votre version.