Abfrage von Linux-Syslog-Dateien mit SQL

Ordnerverbindung · Systemprotokolle

Wandeln Sie Ihre Linux- und Unix-Systemprotokolle in SQL-Tabellen Sie können überall Abfragen durchführen.

Richten Sie den Query Streams Agent auf den entsprechenden Ordner ein. Er liest die Protokolldateien auf seinem Rechner, erstellt die Tabellen in einem lokalen Cache und hält sie aktuell, sobald Dateien eintreffen, geändert werden oder gelöscht werden. Sie können die Tabellen aus Excel, Google Sheets, Nova, Claude oder der REST-API abfragen. Es werden keine Daten hochgeladen, konvertiert oder bearbeitet.

Ungefähr 15 Minuten Keine Programmierung erforderlich Die Dateien bleiben in Ihrem Netzwerk. Der kostenlose Tarif deckt dies ab.

Was am Ende dabei herauskommt

System Logs liest Linux-Syslog-Dateien wie syslog, messages und auth.log sowie journald-Exportdateien und wandelt jede Zeile in eine Zeile einer Tabelle namens um. VeranstaltungenJede Zeile enthält die Gastgeber, Programm, PID und Nachricht Aus der Befehlszeile werden so Abfragen, die Sie normalerweise an grep oder journalctl senden würden, zu SQL-Anweisungen, die Sie in Excel, Google Sheets oder einem Dashboard ausführen können. Die Dateien verbleiben auf dem Computer, auf dem der Agent ausgeführt wird.

Geparste Zeilen landen in fileset.eventsoder in der Tabellenname Sie haben die Wahl. Der Agent kopiert die Zeilen in einen lokalen Cache auf dem Agentenrechner und stellt sie als SQL bereit. Die folgenden Spalten stammen aus dem standardmäßigen RFC-3164-Protokolltyp. Es gibt keine Spalte für Einrichtung oder Schweregrad.

Jeder Ordnerverbinder bietet Ihnen außerdem Dateien, Dateien_Ereignisse, Verzeichnisse, Verzeichnis-Snapshots und Bändeund Protokollkonnektoren fügen hinzu log_cursors mit der jeweiligen Leseposition jeder Datei. Immer ORDER BY event_time.

Wo es seinen Nutzen hat:

• Zähle die fehlgeschlagenen SSH-Anmeldungen pro Host und Quelladresse in einer Tabelle.
• Zeichnen Sie das Protokollvolumen pro Programm auf, um einen Dienst zu erkennen, der in eine Endlosschleife geraten ist.
• Die auth.log-Datei soll 60 Tage lang abfragbar bleiben, nachdem sie durch logrotate komprimiert wurde.

Was Sie benötigen

Ein Query Streams-Konto

Ordnerverknüpfungen sind in allen Tarifen enthalten, auch in der kostenlosen Version. Die kostenlose Version ist ein dauerhafter Tarif und keine befristete Testphase. Es gibt keine Begrenzung für die Anzahl der Dateien, die ein Ordner enthalten kann.

Der Agent, Version 2.6.0 oder später

Die Installation erfolgt auf einem Computer, der den Ordner öffnen kann: dem Dateiserver selbst, einem Bürocomputer oder dem Rechner, auf dem die Dateien gespeichert werden. Bei einem älteren Agenten werden die Ordnerkarten ausgegraut angezeigt. Agent 2.6.0+ Badge. Windows, Mac oder Linux.

Der Pfad des Ordners, wie ihn der Agent sieht

Ein lokaler Pfad oder eine Netzwerkfreigabe, geschrieben als \\server\share\folder. The Agent runs as a service, so it cannot see drives you mapped at your login (Z: and friends). On Windows it can sign in to a share with a login you store; on Linux or a Mac, mount the share first (Linux under /mnt oder /Medien, a Mac under /Volumes).

Richten Sie es in fünf Schritten ein

1. Installieren Sie den Agenten auf einem Computer, der den Ordner öffnen kann.

   Anmelden, öffnen HerunterladenInstallieren Sie den Agenten für Ihr System auf dem Computer, der Ihre Linux- und Unix-Systemprotokolle öffnen kann: dem Dateiserver oder einem beliebigen Computer, der ständig eingeschaltet ist und auf die Freigabe zugreifen kann. Die Installation dauert etwa eine Minute und startet anschließend automatisch. Sie benötigen Version 2.6.0 oder höher; die aktuelle Version finden Sie immer auf der Downloadseite.

   Warum ein kleines Programm anstelle eines Treibers? Der Agent benötigt eine einmalige Installation für Windows, Mac oder Linux (ca. 85 MB unter Windows, etwas über 100 MB unter Mac und Linux). Er öffnet eine einzige verschlüsselte Verbindung zu Query Streams – dies ist der einzige benötigte Netzwerkpfad: Es muss kein eingehender Port geöffnet werden, kein VPN ist erforderlich. Der Agent liest den Ordner, in dem er sich befindet. Die Dateien bleiben also an Ort und Stelle, und nur die von einer Abfrage zurückgegebenen Zeilen werden über das Internet an das Add-in, den Browser oder den KI-Client auf Ihrem System übertragen.

   Die Downloadseite zeigt Ihr ZugangsschlüsselFügen Sie es in das Feld des Agenten ein, wenn Sie dazu aufgefordert werden, und warten Sie, bis das Abzeichen gelesen wurde. Verbunden mit AbfrageströmenDas ist das Einzige, was Sie auf dem Computer des Agenten tun; alles andere geschieht in Ihrem Browser.

   Vollständige Komplettlösungen, falls gewünscht: Fenster, Mac, Linux.

2. Richten Sie es auf Ihre Linux- und Unix-Systemprotokolle.

   Zurück in Ihrem Browser öffnen Daten → DatenagentenSuchen Sie den soeben installierten Agenten und klicken Sie darauf. Anschluss hinzufügen Schaltfläche. Öffnen Sie die Dateien und Ordner Pille und wähle die Systemprotokolle Karte. Sie sind sich nicht sicher, welche Karte passt? Wählen Sie eine aus. Dateien in einem Ordner Stattdessen: Der Agent durchsucht den Ordner, benennt dessen Inhalt auf einer Seite mit dem Titel „Was wir gefunden haben“ und öffnet die richtige, vorausgefüllte Karte für Sie.

   Der Zauberer rennt Ordner → Prüfen → Einstellungen → Realm → Überprüfen. An Ordner:

   Stammverzeichnisse

   One path per line, as the Agent’s computer sees it. Each folder shows a status (reachable, denied, missing, unreachable, credentials invalid or not mounted) as soon as you add it. On a Windows Agent a share that needs a login gets one from the folder’s Credential column, stored once per server; on Linux or a Mac, mount the share first.

   Unterordner scannen, maximale Tiefe

   Ein, und standardmäßig 8 Stufen.

   Muster einschließen, Muster ausschließen

   Welche Dateien zählen? Das Include-Muster beginnt mit dem passenden Glob für diese Karte. Ein Connector liest einen Dateityp: einen Ordner mit CSV-Dateien. und Parquet-Dateien bestehen aus zwei Konnektoren im selben Ordner, einem pro Dateityp.

   Folgen Sie symbolischen Links und Kreuzungen

   Standardmäßig deaktiviert. Der Agent folgt weder Verknüpfungen noch Cloud-Platzhaltern, solange diese Option nicht aktiviert ist.

   Öffnen Sie im Portal den Agenten, der den Ordner sehen kann, und klicken Sie auf Anschluss hinzufügen. Unter Dateien und Ordner wählen SystemprotokolleNach der Erstellung wird es in der Konnektorliste angezeigt als Protokolldateien.

   • Fügen Sie den Protokollordner hinzu unter Stammverzeichnisse, Zum Beispiel /var/logUnter Linux werden Freigaben unter folgendem Pfad eingebunden: /mnt oder /Medien.
   • Muster einbeziehen beginnen mit **/syslog*, **/messages* und **/auth.log*Die allgemeinen Standardeinstellungen des Log-Treibers sind: **/*.Protokoll und **/*.txt.
   • Wähle ein ProtokolltypDie Systemprotokolle sind auf die vordefinierten Protokolltypen beschränkt. Falls Ihr Protokolltyp fehlt, heißt es in der Liste: „Benötigen Sie einen Protokolltyp, der nicht aufgeführt ist? Erstellen Sie eine Supportanfrage, und wir fügen ihn innerhalb weniger Tage hinzu.“
   • Tabellenname ist optional und hat den Standardwert Veranstaltungen.
   • Nachfüllung (Tage) ist 30. Ereignisse für N Tage speichern Standardwert ist 60.

3. Prüfen Sie, was es erstellen wird.

   An Überprüfen Der Agent liest eine Stichprobe von bis zu 64 Dateien und zeigt an, was er erstellen wird. Es wird noch nichts erstellt. Die Schaltfläche lautet: Testverbindung bis ein Urteil vorliegt, dann Weiter; Testen Sie erneut Das Beispiel wird nach jeder Änderung erneut ausgeführt. Es wird eine von vier Schlagzeilen angezeigt:

   Bereit zum Erstellen

   Jede Stichprobendatei passt. Die darunterliegenden Chips geben an, wie viele Ordner erreichbar waren, wie viele Dateien und Zeilen es gibt und welche Tabellen vorhanden sein werden.

   Fertig, mit Notizen

   Einige Dateien werden aussortiert oder die Layoutprüfung wurde fehlgeschlagen. Ein gelbes Banner zeigt genau an, welche Dateien betroffen sind: „{n} von {m} Dateien werden aussortiert“. Zeigen Sie, welche Dateien und warum Liste und „Sie können sie trotzdem erstellen – der Konnektor überprüft dies immer wieder und meldet den Grund auf der Registerkarte „Manifest“.

   Diese Dateien gehören nicht zu diesem Protokolltyp.

   Das Beispiel konnte nicht im Protokollformat dieser Karte interpretiert werden. Überprüfen Sie, ob Sie die richtige Karte ausgewählt haben, oder verwenden Sie die Benutzerdefinierter Protokollordner Karte und beschreiben Sie das Format.

   Eine Ablehnung oder zurückgestellte Akten blockieren Sie nicht: Klicken Sie WeiterSchließen Sie den Assistenten ab und beheben Sie die fehlerhaften Dateien später. Nur ein offline befindlicher Agent oder ein fehlender Ordner verhindert den Abschluss des Assistenten.

   An ÜberprüfenDer Agent liest eine Beispieldatei und zeigt an, was er erstellen wird. Es wird noch nichts erstellt. Wenn die Beispieldatei nicht dem von Ihnen ausgewählten Protokolltyp entspricht, lautet die Überschrift: Diese Dateien sind nicht Darauf folgt dieser Typ, und ein gelbes Banner zeigt „Schema-Sniff abgelehnt:“ mit der Begründung an. Öffnen Zeigen Sie, welche Dateien und warum um die Datei und die Begründungstabelle anzuzeigen. Die übliche Lösung ist eine andere Protokolltypzum Beispiel RFC 5424 anstelle von RFC 3164 oder strengere Muster einbeziehendann Testen Sie erneutSie können es auch trotzdem erstellen. Der Konnektor prüft ständig erneut und meldet den Grund in seiner Ausgabe. Manifest Tab.

4. Wählen Sie die Scanfrequenz und erstellen Sie den Scanvorgang anschließend.

   Die Standardeinstellungen auf Einstellungen Geeignet für einen Ordner, der nur wenige Dateien pro Tag empfängt. Vier Punkte, die Sie möglicherweise ändern möchten:

   Scanintervall

   Jede Stunde Standardmäßig; wählbar von alle 5 Minuten bis täglich. Bei jedem Durchlauf werden Größe und Änderungsdatum verglichen, um neue, geänderte und verschwundene Dateien zu finden.

   Ordner auf Änderungen überwachen (nahezu in Echtzeit)

   Standardmäßig deaktiviert. Im aktivierten Zustand reagiert der Agent innerhalb von Sekunden auf lokalen Festplatten; bei Netzwerkfreigaben erfolgt die Reaktion nach bestem Bemühen, und der geplante Scan bleibt die Garantie. Ruhezeit (15 Sekunden) wartet, bis das Schreiben einer Datei abgeschlossen ist.

   Bitte aktualisieren Sie die Seite, bevor Sie eine Anfrage beantworten.

   Standardmäßig deaktiviert. Bei Aktivierung wird eine Abfrage zuerst erneut gescannt, wenn der letzte Scan älter als der letzte Scan ist. Fenster für Frische (60 Sekunden), wobei höchstens die Wartezeit beträgt Abfragewartezeitlimit (5 Sekunden). Dies gilt für Personen und Add-Ins, nicht für Benachrichtigungsumfragen.

   Wenn eine Datei verschwindet

   Entferne die Zeilen standardmäßig oder Zeilen beibehalten, gelöschte Zeilen als gelöscht markieren (Grabstein). Der Vanish-Guard-Verhältnis (0.5) lehnt einen Scan ab, bei dem mehr als die Hälfte der Dateien auf einmal verloren gehen, und behält den vorherigen Bestand bei, was einer Offline-Freigabe entspricht.

   Wählen Sie dann die Datenbereich die Zeilen zählen, überprüfen Rezension und klicken Sie Konnektor erstellenDer erste Scan startet sofort. Der Anschluss Manifest Der Tab zeigt an, was erstellt wurde und welche Dateien beiseitegelegt wurden.

5. Schaut euch eure Tabellen an

   Öffnen Sie den Stecker: Manifest Die Registerkarte listet die erstellten Tabellen und die Dateien Im Dialogfeld werden alle Protokolldateien mit ihrem Status aufgelistet. Abfrage-Generator Die gleichen Tische stehen unter dem Dateisatz Schema. Drei Abfragen, die vom ersten Tag an funktionieren:

   Fehlgeschlagene SSH-Anmeldungen pro Host in den letzten 24 Stunden

   SELECT host, COUNT(*) AS attempts FROM fileset.events WHERE program = 'sshd' AND message LIKE 'Failed password%' AND event_time >= now() - INTERVAL 24 HOUR GROUP BY host ORDER BY attempts DESC LIMIT 100

   Filter auf Programm und der Beginn von Nachrichtdann zählt pro Gastgeber.

   Meistbesuchte Sendungen pro Moderator in der letzten Stunde

   SELECT host, program, COUNT(*) AS lines FROM fileset.events WHERE event_time >= now() - INTERVAL 1 HOUR GROUP BY host, program ORDER BY lines DESC LIMIT 100

   Zeigt an, welches Programm auf welchem Rechner das Protokoll füllt.

   Zeilen, die aus folgendem Grund nicht analysiert werden konnten

   SELECT reason, COUNT(*) AS lines, MIN(line) AS example FROM fileset.events_raw_lines GROUP BY reason ORDER BY lines DESC

   Liest Ereignisse_RohlinienEin großer keine Grammatikübereinstimmung Zählen bedeutet normalerweise falsch Protokolltyp für einige Dateien.

   Jeder Ordnerverbinder dient auch denselben Buchhaltungstabellen, alle im Dateisatz Schema:

   Tisch	Was es enthält
   Dateien	Alle aktuell im Ordner befindlichen Dateien: Pfad, Name, Dateiendung, Größe, Erstellungs- und Änderungsdatum, zuletzt gesehen und zuletzt aufgerufen. Eine Übersicht über files_current, in dem auch verschwundene Dateien aufbewahrt werden.
   Dateien_Ereignisse	Die Änderungshistorie: eine Zeile pro Datei erschien, War modifiziert, verschwandwurde beiseite gelegt (Driftoder war abgelehnt, mit der Zeit in event_at, wie es bemerkt wurde in erkannt von und der Grund dafür Detail.
   Verzeichnisse, Verzeichnis-Snapshots, Bände	Anzahl und Größe der Ordner, wie sie gewachsen sind und auf welchen Datenträgern oder Freigaben die Stammverzeichnisse liegen.
   _Quelldatei, _row_id	Jede Datenzeile enthält zwei Spalten: die Datei, aus der die Zeile stammt, und eine eindeutige Zeilen-ID innerhalb dieser Datei. Gruppieren nach _Quelldatei um Dateien zu vergleichen.

Reaching a file on a network share

The Agent opens files as a background service, not as you, so a file on another computer needs one extra step. Which step depends on the computer the Agent runs on.

If the test cannot get to the share, look for these words in its result: unreachable means the Agent’s computer got no answer from the server. On Linux or a Mac, not mounted means the share still has to be mounted, and that message includes the exact mount command for your server.

When a folder is not reachable

Every folder on the Ordner step shows a status as soon as you add it. Hover the status to read the Agent’s own message; its first words say which case it is.

Nutze es überall

Der Konnektor ist eine Datenquelle wie jede andere in Query Streams. Speichern Sie eine Abfrage einmalig im Abfrage-Generator (der Dialekt ist DuckDB) und verwenden Sie es von hier aus:

Excel

Das Add-in Streamen Sie eine Abfrage Die Zeilen werden in ein Tabellenblatt eingefügt und bei einem Klick erneut ausgeführt. SQL in Excel ausführen.

Google Sheets

Der Abfragestreamer Das Add-on füllt einen von Ihnen ausgewählten Tab. Power Query für Google Sheets.

Claude, Cursor und andere KI-Clients

Über den Query Streams MCP-Server kennt Claude das Ordnermodell, einschließlich _Quelldatei und Dateien_Ereignisse. Systemprotokolle mit Claude über MCP.

REST-API

Jede gespeicherte Abfrage wird in jedem Tarif zu einem schreibgeschützten Endpunkt mit eigenem Schlüssel. Systemprotokolle REST-API.

Nova

Fragen Sie in einfachen Worten nach dem Businessplan; Nova kennt jede Ordnertabelle und Spalte anhand seiner integrierten Beschreibungen.

Automatisierungen

Synchronisieren Sie die Zeilen nach einem Zeitplan mit Airtable, Smartsheet, Baserow, SeaTable oder einem Tabellenblatt. Automatisierungsleitfäden.

Ordnertabellen lassen sich auch mit Ihren anderen Konnektoren verknüpfen: Eine föderierte Abfrage kann übereinstimmen _Quelldatei Namen oder Bestellnummern in Ihren Linux- und Unix-Systemprotokollen gegen eine Datenbank auf demselben Agenten.

Wie neue, geänderte und gelöschte Dateien angezeigt werden

beiseitegelegte Dateien

Im Schritt „Prüfen“ und auf der Registerkarte „Manifest“ erscheinen drei Wörter. Sie haben unterschiedliche Bedeutungen:

Beiseite stellen (geparkt)

Die Datei entspricht nicht dem festgelegten Layout oder ist unlesbar, beschädigt, gesperrt oder über einer Kappe. Es gilt das Alles-oder-Nichts-Prinzip: Eine geparkte Datei trägt null Zeilen bei. Dateien_Ereignisse Aufzeichnungen Drift Reihe, deren Detail Die Datei und die Spalte werden benannt. Die Datei wird übersprungen, solange ihre Größe und ihr Änderungsdatum gleich bleiben, und erneut versucht, sie zu laden, sobald sie sich ändert.

Unlesbar

Der Agent konnte die Datei aufgrund ihres Typs nicht öffnen oder analysieren: keine echte Arbeitsmappe, von einem anderen Programm gesperrt, ein Cloud-Platzhalter, nicht dekodierbare Bytes. Er bricht den Vorgang ab, und der Rest des Ordners wird weiterhin verarbeitet. Nur ein Ordner ohne lesbare Dateien verweigert die Verarbeitung des gesamten Pakets.

Abgelehnt

Der Agent konnte kein Layout festlegen, beispielsweise weil die Dateien unterschiedliche Spaltentypen verwenden. Es existiert noch keine Datentabelle. Dateien_Ereignisse bekommt ein abgelehnt Zeile mit dem Grund in DetailDer Agent versucht es bei jedem Scan erneut, bis ein Layout gefunden wird. Korrigieren oder schließen Sie die angegebene Datei aus, dann verschwindet die Meldung.

Wo man suchen muss: das bernsteinfarbene Banner auf Überprüfen (Zeigen Sie, welche Dateien und warum), des Steckverbinders Manifest anschließend die Registerkarte und für Protokollverbinder die Dateien Dialog, der geparkte Dateien mit dem Grund auflistet letzter FehlerIn SQL: SELECT relative_path, event_type, detail FROM fileset.files_events WHERE event_type IN ('drift','refused') ORDER BY event_at DESC.

Grenzen, die man kennen sollte

Es gibt keine Beschränkung hinsichtlich Ordnern oder Dateianzahl. Die Zeilen werden wie bei jedem anderen Connector auf Ihren Datenbereich angerechnet. Standardeinstellungen, die Sie für den Connector anpassen können:

Inhaltsbeschränkungen, die eine Datei speichern, anstatt sie abzuschneiden: 2.000.000 Zeilen oder 512 MiB pro Datei, 10.000.000 Zeilen oder 2 GiB pro Scan. Ein Ordner kann maximal 25 verschiedene Layouts enthalten. Ein Tisch pro Layout Modus.

Fragen, die Menschen stellen

• Dateisystem
• CSV-Ordner
• Parkettordner
• Excel-Ordner
• SQLite-Ordner
• JSONL-Ordner
• CSV-Datei mit mehreren Datensätzen
• Maschinenprotokolle
• Webserver-Protokolle
• Containerprotokolle
• Anwendungsprotokolle
• Benutzerdefinierte Protokolle