Transforme logs do sistema em tabelas consultáveis.

Observe o início de uma linha em /var/log/syslog ou /var/log/mensagens. Se começar com uma abreviação de mês de três letras — 10 de setembro, 04:11:07 — é RFC 3164, formato que a maioria dos servidores Linux ainda grava por padrão. Se começar com um número entre colchetes angulares, seguido de um timestamp completo ISO 8601, é RFC 5424.

Você não precisa ter certeza antes de começar. O teste de conexão informa qual perfil foi reconhecido e qual a porcentagem do arquivo correspondente, portanto, a resposta vem dos seus arquivos reais, e não de um palpite.

Não. Há suporte para os dois formatos, então escolha aquele que seu servidor já grava — e o formato clássico padrão é o que foi mais testado.

A única mudança que vale considerar não tem relação com o formato: se você já encaminha logs de várias máquinas para um coletor, aponte o Agent para a pasta desse coletor e obtenha todos os hosts em um único conector, pois cada linha inclui o host de origem.

O ano é obtido da data de modificação do arquivo. Um arquivo compactado rotacionado gravado pela última vez em dezembro é lido como dezembro, em vez de cada linha ser atribuída ao ano atual, como faria um analisador ingênuo.

Vale conhecer a limitação: se os timestamps de um arquivo tiverem sido alterados — por exemplo, ao restaurar um backup que não os preservou ou ao copiá-lo de um modo que os redefiniu —, a inferência usa o que o sistema de arquivos informa. O texto original é sempre mantido junto ao valor analisado, para que você possa ver o que realmente estava na linha.

Não, e este é o passo de configuração que as pessoas esquecem. O registro em disco é um banco de dados binário, e o Query Streams não o abre. O que ele lê é o formato de exportação: journalctl -o export > journal.export, em qualquer pasta que o Agente possa ler.

Na prática, isso significa uma pequena tarefa agendada no servidor — um temporizador ou uma entrada do cron que grava a exportação em algum local que o Agent já monitora. Depois disso, tudo é automático, e as exportações compactadas com gzip também são lidas.

Nenhum dos dois tem um perfil aqui. Os três formatos desta página são para Linux e Unix, e preferimos explicitar essa lacuna a deixar que a expressão “logs do sistema” sugira uma cobertura que não existe.

Há uma alternativa para o caso do Windows. Ler o Event Log ativo é um problema diferente de ler um arquivo de texto — trata-se de um canal estruturado, não de uma pasta com linhas — e isso pertence a um conector separado. Mas, se você já exporta esses eventos para texto ou CSV em uma programação, essa pasta pode ser lida hoje: descreva o formato uma vez com um registro personalizado O conector e as exportações se transformam em uma tabela como qualquer outra coisa nesta página.

Sim, e vale a pena pensar nisso antes de compartilhar uma dúvida, em vez de depois. auth.log É um registro de quem se conectou e de onde, o que, na maioria das jurisdições, constitui dado pessoal, e uma mensagem syslog é um texto livre que pode conter qualquer coisa que um programa decida imprimir.

Query Streams não altera o conteúdo do arquivo, então a forma correta de dizer é que a tabela herda a sensibilidade do arquivo. Duas coisas ajudam: uma consulta salva compartilha um resultado, não a conexão, então o destinatário nunca recebe o log inteiro; e os filtros permitem restringir a consulta aos programas de que alguém realmente precisa antes de compartilhá-la.

Esse é o caso em que esta solução funciona melhor. Os três formatos incluem o host como uma coluna — os dois formatos syslog o extraem da linha, e a exportação do journal o obtém do próprio campo de nome de host —, então uma pasta coletada de quarenta máquinas corresponde a um único conector, e agrupar por host é uma operação comum de GRUPO POR.

Servidores em prédios ou regiões diferentes também funcionam. Cada local executa seu próprio Agente, e uma consulta federada pode ler dados de todos eles em uma única instrução nos planos Business e Enterprise.

Ela é mantida, não descartada. Uma linha que não corresponde ao formato definido é retida como uma linha bruta com uma justificativa anexada, de modo que uma entrada malformada ou uma alteração inesperada no formato apareça como algo que você pode ver e consultar, em vez de como uma lacuna silenciosa em seus números.

O mesmo se aplica a um valor de diário que o formato marca como binário: ele é exibido ao lado de sua entrada com uma justificativa, em vez de ser adivinhado, e a própria entrada permanece intacta.