XProtect les composants du serveur génèrent des entrées de journal pour l’activité du système, les événements et les erreurs. Les composants exécutés sur le serveur de gestion envoient des entrées de journal au collecteur OpenTelemetry à l’aide du protocole OpenTelemetry Protocol (OTLP). Dans les déploiements distribués, les entrées de journal des composants d’autres machines sont acheminées via la passerelle API avant d’atteindre le collecteur.

OpenTelemetry Collector transmet les données de journaux à un service de traitement des journaux. Par défaut, il s’agit de VictoriaLogs.

Vous pouvez consulter les journaux système, les journaux d’activité et les journaux de règles dans XProtect Management Client. À partir de la page Journaux des serveurs, vous pouvez rechercher, filtrer et analyser les entrées du journal pour enquêter sur l’activité du système, les actions des utilisateurs, les événements et les erreurs.

Certains paramètres de journalisation, y compris le comportement de rétention et de collecte, sont gérés en dehors XProtect Management Client via OpenTelemetry Collector et les fichiers de configuration VictoriaLogs.

OpenTelemetry est une norme ouverte pour la collecte et le transfert de données de télémétrie, y compris les journaux. XProtect utilise le protocole OpenTelemetry Protocol (OTLP) pour envoyer des données de journal entre les composants de l’infrastructure de journalisation.

L’utilisation d’OTLP rend l’infrastructure de journalisation plus flexible. Outre la configuration par défaut avec VictoriaLogs, vous pouvez connecter le système à des solutions de journalisation ou de surveillance externes qui prennent en charge OTLP.

Pour plus d’informations, consultez la documentation OpenTelemetry : https://opentelemetry.io/docs/specs/otel/logs/

Les journaux système, les journaux d’audit et les journaux de règles nécessitent l’exécution d’un service OpenTelemetry Collector sur le serveur de gestion.

Le collecteur OpenTelemetry reçoit les données du journal de XProtect et le transmet au service de traitement des journaux configuré. Par défaut, il s’agit de VictoriaLogs.

VictoriaLogs sert de moteur de base de données de journaux pour XProtect journaux, gestion du stockage des journaux, requêtes et analyses. Il remplace la base de données de journaux basée sur SQL Server utilisée dans les versions antérieures de XProtect.

Vous pouvez accéder aux données du journal depuis la page Journaux des serveurs dans XProtect Management Client.

Par défaut, les journaux système et les journaux de règles sont conservés pendant 7 jours, et les journaux d’activité sont conservés pendant 30 jours. Les entrées de journal plus anciennes sont automatiquement supprimées à l’expiration de la période de rétention. Vous pouvez modifier les paramètres de rétention dans les fichiers de configuration VictoriaLogs stockés sur le serveur de gestion. Pour plus d’informations, voir Définir la politique de rétention des journaux.