[9.195][ANSWERED] UTM ID Configuration in Sophos UTM

Hi, I believe you can have the receiving syslog server add/modify the device name (use the source IP for the rule).

Barry

Hello,
I am getting this as in my syslog server from sophos UTM.

2014:02:12-18:25:11 sophos httpproxy[18530]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="CONNECT" srcip="192.168.56.10" dstip="103.250.31.5" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Web Filter Profile)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="68811" request="0x983e8c8" url="cybermail.cyberoam.com" exceptions="" error="" authtime="0" dnstime="25201" cattime="192066" avscantime="0" fullreqtime="2040720234" device="0" auth="0" category="175" reputation="neutral" categoryname="Software/Hardware"

now look at i am getting device="0" i want to get unique UTM ID in syslog because i have device id field in my syslog server..

please help on this what i am missing here.

Thanks,
Asha Koshti

Hello,
I am getting this as in my syslog server from sophos UTM.

2014:02:12-18:25:11 sophos httpproxy[18530]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="CONNECT" srcip="192.168.56.10" dstip="103.250.31.5" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Web Filter Profile)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="68811" request="0x983e8c8" url="cybermail.cyberoam.com" exceptions="" error="" authtime="0" dnstime="25201" cattime="192066" avscantime="0" fullreqtime="2040720234" device="0" auth="0" category="175" reputation="neutral" categoryname="Software/Hardware"

now look at i am getting device="0" i want to get unique UTM ID in syslog because i have device id field in my syslog server..

please help on this what i am missing here.

Thanks,
Asha Koshti

Hi asha, sorry I did not see your post before now.

device=0 refers to the device type detection that is used for device specific authentication.

I don't know exactly what you are after (out of my area of expertise) but the second field (in your case "sophos") should be hostname of the device that logged the line.