Un server syslog è un servizio centralizzato che riceve, archivia e spesso inoltra messaggi di log da sistemi operativi, dispositivi di rete e applicazioni. Aiuta i team di sicurezza a mantenere i record degli eventi in un unico luogo, rendendo più facile cercare errori, rilevare comportamenti sospetti e conservare prove per la risposta agli incidenti. Il traffico syslog è comunemente usato per il monitoraggio operativo, ma può anche includere eventi rilevanti per la sicurezza, come errori di autenticazione, modifiche di configurazione e crash dei servizi.
Nella sicurezza informatica, i server syslog sono importanti perché si trovano sul percorso dei dati di amministrazione attendibili. Se sono esposti, configurati in modo errato o vulnerabili a bug nella gestione dell'input, gli aggressori possono provare a leggere log sensibili, sovrascrivere record o usare il servizio come punto di ingresso verso sistemi di maggior valore. I difensori fanno affidamento su di essi per la visibilità, quindi sono importanti l'irrobustimento degli accessi, la limitazione della raggiungibilità di rete, la convalida degli input e l'applicazione rapida delle patch. Nelle piattaforme centralizzate, un difetto nel componente syslog può avere un impatto sproporzionato perché tocca contemporaneamente il livello di gestione e quello di registrazione.