Transformez System Logs en tables interrogeables.

Regardez le début d'une ligne dans /var/log/syslog ou /var/log/messages. S’il commence par un mois abrégé de trois lettres — 10 sept. 04:11:07 — il s’agit de RFC 3164, le format que la plupart des serveurs Linux utilisent encore par défaut. S’il commence par un nombre entre chevrons, suivi d’un horodatage ISO 8601 complet, il s’agit de RFC 5424.

Il n'est pas nécessaire d'être sûr de soi avant de commencer. Le test de connexion indique le profil reconnu et la proportion du fichier correspondante ; la réponse provient donc de vos fichiers réels et non d'une supposition.

Non. Les deux formats sont pris en charge : choisissez donc celui que votre serveur écrit déjà. Le format classique par défaut est celui qui a été le plus testé.

Le seul changement à envisager n’a rien à voir avec le format : si vous transférez déjà les journaux de plusieurs machines vers un collecteur unique, pointez l’Agent vers le dossier de ce collecteur pour obtenir tous les hôtes dans un seul connecteur, puisque chaque ligne indique l’hôte dont elle provient.

L’année est déduite de la date de modification du fichier. Une archive de rotation dont la dernière écriture remonte à décembre est lue comme datant de décembre, au lieu que toutes les lignes soient affectées à l’année en cours, comme le ferait un analyseur naïf.

Il faut connaître cette limite : si les horodatages d’un fichier ont été aplatis — après une restauration depuis une sauvegarde qui ne les a pas préservés, ou une copie qui les a réinitialisés —, la déduction se fonde sur les informations du système de fichiers. Le texte d’origine est toujours conservé à côté de la valeur analysée, afin que vous puissiez voir ce qui figurait réellement sur la ligne.

Non, et c'est cette étape de configuration que beaucoup oublient. Le journal sur disque est une base de données binaire, et Query Streams ne l'ouvre pas. Il lit le format d'exportation : journalctl -o export > journal.export, dans n'importe quel dossier que l'Agent peut lire.

En pratique, cela signifie qu’il faut exécuter une petite tâche planifiée sur le serveur — un timer ou une entrée cron qui écrit l’export dans un emplacement déjà surveillé par l’Agent. Tout le reste est ensuite automatique, et les exports compressés en gzip sont également lus.

Aucun profil n’est proposé ici pour ces formats. Les trois formats présentés sur cette page concernent Linux et Unix, et nous préférons signaler cette lacune plutôt que de laisser entendre que la mention « journaux système » couvre des formats qui ne sont pas pris en charge.

Il existe toutefois une solution pour Windows. La lecture du journal des événements en direct est un problème différent de la lecture d’un fichier texte : il s’agit d’un canal structuré, et non d’un dossier contenant des lignes. Elle relève donc d’un connecteur distinct. Mais si vous exportez déjà ces événements au format texte ou CSV selon un calendrier, ce dossier peut être lu dès aujourd’hui : décrivez la disposition une fois à l’aide d’un journal personnalisé Le connecteur et les exportations deviennent un tableau comme tout autre élément de cette page.

Oui, et il est préférable d'y réfléchir avant de soumettre une question plutôt qu'après. auth.log Il s'agit d'un enregistrement des personnes qui se sont connectées et de leur provenance, ce qui constitue une donnée personnelle dans la plupart des juridictions, et un message syslog est un texte libre pouvant contenir tout ce qu'un programme a choisi d'imprimer.

Query Streams ne modifie pas le contenu du fichier. Il est donc plus juste de dire que la table hérite du niveau de sensibilité du fichier. Deux éléments sont rassurants : une requête enregistrée partage un résultat, pas la connexion, de sorte que le destinataire n’accède jamais à l’intégralité du journal ; et les filtres permettent de limiter une requête aux programmes dont la personne a réellement besoin avant de la partager.

C’est précisément le cas auquel il convient le mieux. Les trois formats incluent l’hôte dans une colonne : les deux formats syslog le lisent dans la ligne, et l’export du journal le récupère dans son propre champ de nom d’hôte. Ainsi, un dossier collecté depuis quarante machines correspond à un seul connecteur, et le regroupement par hôte est une opération ordinaire GROUPE PAR.

Les serveurs situés dans différents bâtiments ou régions fonctionnent également. Chaque emplacement exécute son propre agent, et une requête fédérée peut les parcourir en une seule instruction sur les forfaits Business et Enterprise.

Elle est conservée, non supprimée. Une ligne ne respectant pas le format défini est conservée comme une ligne brute avec une explication, de sorte qu'une entrée malformée ou un changement de format inattendu apparaisse comme une information visible et exploitable, et non comme une lacune silencieuse dans vos données.

Il en va de même pour une valeur de journal que le format marque comme binaire : elle est placée à côté de son entrée avec une explication plutôt que d’être devinée, et l’entrée elle-même reste intacte.