Trasforma i log di sistema in tabelle interrogabili.

Guarda l'inizio di una riga in /var/log/syslog o /var/log/messaggi. Se inizia con un mese scritto con tre lettere — 10 set 04:11:07 — è il formato RFC 3164, quello che la maggior parte dei server Linux scrive ancora per impostazione predefinita. Se inizia con un numero tra parentesi angolari seguito da un timestamp ISO 8601 completo, è il formato RFC 5424.

Non è necessario essere sicuri prima di iniziare. Il test di connessione segnala quale profilo ha riconosciuto e quanta parte del file corrisponde, quindi la risposta proviene dai file effettivi e non da una supposizione.

No. Sono supportati entrambi i formati, quindi scegli quello che il tuo server già scrive: il formato predefinito classico è anche quello sottoposto al maggior numero di test.

L’unica modifica da valutare non riguarda il formato: se inoltri già i log di più macchine a un unico collector, punta l’Agent alla cartella di quel collector e avrai tutti gli host in un solo connettore, perché ogni riga riporta l’host di origine.

L’anno viene ricavato dall’ora di modifica del file. Un archivio ruotato scritto per l’ultima volta a dicembre viene letto come appartenente a dicembre, anziché vedere tutte le righe assegnate all’anno corrente, come farebbe un parser ingenuo.

È bene conoscere il limite: se i timestamp di un file sono stati azzerati, perché è stato ripristinato da un backup che non li conservava o copiato in modo da reimpostarli, la deduzione si basa su quanto indicato dal filesystem. Il testo originale viene sempre conservato accanto al valore analizzato, così puoi vedere cosa riportava effettivamente la riga.

No, e questo è il passaggio di configurazione che molti trascurano. Il file di log su disco è un database binario e Query Streams non lo apre. Ciò che legge è il formato di esportazione: journalctl -o export > journal.export, in qualsiasi cartella che l'agente può leggere.

In pratica, basta un piccolo processo pianificato sul server: un timer o una voce cron che scriva l’esportazione in un percorso già monitorato dall’Agent. Da quel momento tutto è automatico e vengono lette anche le esportazioni compresse con gzip.

Nessuno dei due ha un profilo qui. I tre formati in questa pagina sono per Linux e Unix; preferiamo dichiarare questa lacuna, anziché lasciare intendere che “system logs” siano supportati quando non è così.

Per il caso Windows c’è comunque una soluzione. Leggere il registro eventi in tempo reale è un problema diverso dalla lettura di un file di testo: si tratta di un canale strutturato, non di una cartella di righe, e richiede un connettore separato. Se però esporti già quegli eventi in testo o CSV secondo una pianificazione, la cartella è già leggibile: descrivi il formato una sola volta con un registro personalizzato il connettore e le esportazioni diventano una tabella come qualsiasi altro elemento in questa pagina.

Sì, ed è opportuno pensarci prima di condividere una richiesta, piuttosto che dopo. registro di autorizzazione è una registrazione di chi si è connesso da dove, che nella maggior parte delle giurisdizioni costituisce dato personale, e un messaggio syslog è un testo libero che può contenere qualsiasi cosa un programma abbia scelto di stampare.

Query Streams non modifica il contenuto del file, quindi è corretto dire che la tabella eredita la sensibilità del file. Due accorgimenti aiutano: una query salvata condivide un risultato, non la connessione, perciò il destinatario non riceve mai l’intero log; inoltre, i filtri consentono di limitare la query ai programmi di cui qualcuno ha effettivamente bisogno prima di condividerla.

È proprio questo il caso in cui dà il meglio. Tutti e tre i formati includono l’host come colonna: i due formati syslog lo ricavano dalla riga, mentre l’esportazione del journal lo prende dal relativo campo hostname. Così, una cartella che raccoglie i log di quaranta macchine corrisponde a un solo connettore e raggruppare per host è una normale GRUPPO PER.

Funzionano anche server situati in edifici o regioni diverse. Ogni sede esegue il proprio agente e, con i piani Business ed Enterprise, una query federata può accedere a tutti i server con un'unica istruzione.

Viene mantenuta, non eliminata. Una riga che non corrisponde al formato predefinito viene conservata come riga grezza con una motivazione allegata, in modo che una voce non valida o una modifica di formato imprevista risulti visibile e interrogabile, anziché come una lacuna silenziosa nei dati.

Lo stesso vale per un valore di registro che il formato contrassegna come binario: viene posizionato accanto alla sua voce con una motivazione anziché essere dedotto, e la voce stessa rimane intatta.