Zamień System Logs w tabele, do których można wysyłać zapytania.

Spójrz na początek linii w /var/log/syslog lub /var/log/messages. Jeśli zaczyna się od trzyliterowego skrótu miesiąca — 10 września 04:11:07 — to RFC 3164, format nadal domyślnie zapisywany przez większość serwerów Linux. Jeśli zaczyna się od liczby w nawiasach ostrych, po której następuje pełny znacznik czasu ISO 8601, to RFC 5424.

Nie musisz mieć pewności przed rozpoczęciem. Połączenie testowe raportuje, który profil został rozpoznany i ile plików zostało dopasowanych, więc odpowiedź pochodzi z rzeczywistych plików, a nie z domysłów.

Nie. Obsługiwane są oba formaty, więc wybierz ten, który już zapisuje Twój serwer — a klasyczny format domyślny jest tym, który został najdokładniej przetestowany.

Jedna zmiana, którą warto rozważyć, nie dotyczy formatu: jeśli już przekazujesz dzienniki z kilku komputerów do jednego kolektora, wskaż Agentowi folder tego kolektora, a uzyskasz wszystkie hosty w jednym konektorze, ponieważ każdy wiersz zawiera informację o hoście, z którego pochodzi.

Rok jest pobierany z daty modyfikacji pliku. Rotowane archiwum zapisane po raz ostatni w grudniu jest odczytywane jako grudniowe, zamiast przypisywać każdy wiersz do bieżącego roku, jak zrobiłby naiwny parser.

Warto znać ograniczenie: jeśli znaczniki czasu pliku zostały ujednolicone — na przykład po przywróceniu kopii zapasowej, która ich nie zachowała, lub skopiowaniu pliku w sposób, który je zresetował — ustalenie daty opiera się na informacjach podawanych przez system plików. Oryginalny tekst jest zawsze zachowywany obok sparsowanej wartości, więc możesz sprawdzić, co rzeczywiście znajdowało się w wierszu.

Nie, to jest krok konfiguracji, który ludzie pomijają. Dziennik na dysku to binarna baza danych, a Query Streams go nie otwiera. Wyświetla się format eksportu: journalctl -o export > journal.export, w dowolnym folderze, który Agent może odczytać.

W praktyce oznacza to niewielkie zaplanowane zadanie na serwerze — timer lub wpis crona, który zapisuje eksport w miejscu już przeszukiwanym przez Agenta. Reszta odbywa się automatycznie; odczytywane są również eksporty spakowane gzipem.

Żaden z nich nie ma tu profilu. Trzy formaty opisane na tej stronie dotyczą systemów Linux i Unix, a wolimy otwarcie wskazać tę lukę, niż sugerować słowami „dzienniki systemowe” obsługę, której nie ma.

Istnieje jednak rozwiązanie dla systemu Windows. Odczyt aktywnego dziennika zdarzeń to inny problem niż odczyt pliku tekstowego — jest to ustrukturyzowany kanał, a nie folder z wierszami — i wymaga osobnego konektora. Jeśli jednak już eksportujesz te zdarzenia zgodnie z harmonogramem do tekstu lub CSV, ten folder można odczytać już teraz: opisz układ raz za pomocą niestandardowy dziennik łącznik i eksporty stają się tabelą taką jak wszystko inne na tej stronie.

Tak, i warto się nad tym zastanowić zanim wyślesz zapytanie, a nie dopiero po jego złożeniu. log autoryzacji to zapis tego, kto i skąd się połączył (co w większości jurysdykcji jest danymi osobowymi), a komunikat syslog to tekst w dowolnej formie, który może zawierać dowolne informacje wydrukowane przez program.

Query Streams nie zmienia zawartości pliku, dlatego uczciwie należy powiedzieć, że tabela dziedziczy poziom poufności pliku. Pomagają dwie rzeczy: zapisane zapytanie udostępnia wynik, a nie połączenie, więc odbiorca nigdy nie otrzymuje całego dziennika; ponadto filtry pozwalają zawęzić zapytanie do programów, których ktoś rzeczywiście potrzebuje, zanim udostępnisz mu wynik.

To właśnie zastosowanie, w którym sprawdza się najlepiej. Wszystkie trzy formaty zawierają hosta jako kolumnę — w obu formatach syslog jest on odczytywany z wiersza, a w eksporcie dziennika pobierany z własnego pola nazwy hosta — więc folder zebrany z czterdziestu komputerów tworzy jeden konektor, a grupowanie według hosta jest zwykłym GROUP BY.

Serwery w różnych budynkach lub regionach również działają. Każda lokalizacja ma własnego agenta, a w planach Business i Enterprise zapytanie federacyjne może odczytywać je w jednym poleceniu.

Jest on zachowywany, a nie usuwany. Wiersz niezgodny z przypiętym formatem jest zachowywany jako surowy wiersz z dołączoną przyczyną, więc błędny wpis lub nieoczekiwana zmiana formatu jest widoczna i możliwa do sprawdzenia, a nie jako cicha luka w liczbach.

To samo dotyczy wartości dziennika, którą format oznacza jako binarną: jest ona umieszczana obok swojego wpisu z podaniem przyczyny, a nie jest zgadywana, a sam wpis pozostaje nienaruszony.