Convierte System Logs en tablas consultables.

Mira el comienzo de una línea en /var/log/syslog o /var/log/messages. Si empieza con un mes de tres letras — 10 de septiembre 04:11:07 — es RFC 3164, que es lo que la mayoría de los servidores Linux siguen escribiendo de forma predeterminada. Si empieza con un número entre corchetes angulares seguido de una marca de tiempo ISO 8601 completa, es RFC 5424.

No es necesario que estés seguro antes de empezar. Los informes de prueba de conexión muestran qué perfil reconoció y qué porcentaje del archivo coincidió, por lo que la respuesta proviene de tus archivos reales y no de una suposición.

No. Se admiten ambos formatos, así que puedes elegir el que ya escriba tu servidor; el formato clásico predeterminado es el que cuenta con más pruebas.

El único cambio que vale la pena considerar no tiene que ver con el formato: si ya reenvías registros de varias máquinas a un único recopilador, apunta el Agent a la carpeta de ese recopilador y tendrás todos los hosts en un solo conector, porque cada fila incluye el host de origen.

El año se obtiene de la fecha de modificación del archivo. Un archivo rotado cuya última escritura fue en diciembre se lee como de diciembre, en lugar de asignar todas las líneas al año actual, como haría un analizador ingenuo.

Conviene conocer esta limitación: si se han borrado las marcas de tiempo de un archivo —al restaurarlo desde una copia de seguridad que no las conservó o al copiarlo de una forma que las restableció—, la inferencia se basa en lo que indica el sistema de archivos. El texto original siempre se conserva junto al valor analizado, para que puedas ver qué decía realmente la línea.

No, y este es el paso de configuración que la gente suele pasar por alto. El registro en disco es una base de datos binaria, y Query Streams no la abre. Lo que lee es el formato de exportación: journalctl -o exportar > journal.export, en cualquier carpeta que el Agente pueda leer.

En la práctica, esto significa ejecutar un pequeño trabajo programado en el servidor —un temporizador o una entrada de cron que escriba la exportación en una ubicación que el Agent ya supervise—. A partir de ahí, todo es automático; también se leen las exportaciones comprimidas con gzip.

Ninguno de los dos tiene un perfil aquí. Los tres formatos de esta página son de Linux y Unix, y preferimos señalar esa carencia antes que dejar que la expresión «registros del sistema» dé a entender una cobertura que no existe.

Sin embargo, hay una alternativa para el caso de Windows. Leer el registro de eventos en directo es un problema distinto al de leer un archivo de texto: es un canal estructurado, no una carpeta con líneas, y corresponde a un conector independiente. Pero si ya exportas esos eventos a texto o CSV según una programación, esa carpeta se puede leer desde ahora: describe la estructura una vez con un registro personalizado El conector y las exportaciones se convierten en una tabla como cualquier otro elemento de esta página.

Sí, y conviene pensarlo antes de compartir una consulta, en lugar de después. Registro de autenticación es un registro de quién se conectó desde dónde, lo cual es información personal en la mayoría de las jurisdicciones, y un mensaje de syslog es un texto de formato libre que puede contener cualquier cosa que un programa haya decidido imprimir.

Query Streams no cambia el contenido del archivo, así que lo más honesto es decir que la tabla hereda la sensibilidad del archivo. Hay dos medidas útiles: una consulta guardada comparte un resultado, no la conexión, por lo que el destinatario nunca obtiene el registro completo; además, los filtros permiten limitar la consulta a los programas que alguien necesita antes de compartirla.

Ese es precisamente el caso para el que esto funciona mejor. Los tres formatos incluyen el host como columna: los dos formatos syslog lo extraen de la línea y la exportación del diario lo obtiene de su propio campo de nombre de host. Así, una carpeta recopilada de cuarenta máquinas constituye un solo conector, y agrupar por host es una operación habitual GRUPO POR.

También funcionan los servidores ubicados en diferentes edificios o regiones. Cada ubicación ejecuta su propio agente, y una consulta federada puede leer la información de todos ellos en una sola declaración para los planes Business y Enterprise.

Se conserva, no se descarta. Una línea que no coincide con el formato fijado se mantiene como una fila sin formato con una explicación adjunta, de modo que una entrada mal formada o un cambio de formato inesperado se muestra como algo visible y consultable, en lugar de como un hueco silencioso en los números.

Lo mismo se aplica a un valor de diario que el formato marca como binario: se coloca junto a su entrada con una razón en lugar de adivinarla, y la entrada en sí permanece intacta.