Syslog-Tutorial

Der Hauptgrund für die Vernetzung ist die Kommunikation. Während des Netzwerkens müssen wichtige Nachrichten zwischen Netzwerkgeräten ausgetauscht werden, um Ereignisse zu verfolgen, wenn sie auftreten. Als Systemadministrator oder Developer Operations (DevOps)-Personal ist es sehr wichtig, den Überblick über laufende Aktivitäten über ein Netzwerk zu behalten, und ist sehr nützlich, um Probleme zu lösen, wenn sie auftreten.

Die Methode der Protokollierung wird meistens als zeitaufwändig oder stressig angesehen. Am Ende lohnt sich der Aufwand meistens. Mit syslog wird dieser Stress jedoch reduziert, da Sie den Protokollierungsprozess automatisieren können.Alles, was Sie tun müssen, ist, jedes Mal, wenn ein Problem auftritt, die Protokolle durchzugehen und die Probleme so anzugehen, wie es in den Protokollen angegeben ist.

Syslog ist ein bekannter Standard für die Nachrichtenprotokollierung. In den meisten Fällen neigen das System, das die Protokollierung durchführt, und die Software, die sie generiert, dazu, während der Prozesse zu stören. Aber syslog hilft dabei, die Software, die die Protokolle erstellt, vom System, das die Protokolle speichert, zu trennen, wodurch der Protokollierungsprozess weniger kompliziert und stressig wird.

Mit anderen Worten, syslog ist ein offenes System, das entwickelt wurde, um Netzwerkgeräte oder -systeme zu überwachen und Ereignisse an einen Protokollierungsserver zu senden. Es stellt sicher, dass Nachrichten basierend auf der Priorität der Nachrichten und der Art des Netzwerkgeräts, das die Nachricht sendet, unterschieden werden.

Neben der Unterstützung beim Generieren und Speichern von Protokollen kann es auch für Sicherheitsaudits sowie allgemeine Analysen und Debugging von Systemmeldungen verwendet werden.

Der Syslog-Standard ist für die Verwendung über verschiedene Netzwerkgeräte wie Router, Switches, Load Balancer, Intrusion Protection-Systeme usw. verfügbar. indem das User Datagram Protocol von Port 514 verwendet wird, um Nachrichten an die Logging-Server zu übermitteln.

Eine Syslog-Nachricht folgt entweder dem Legacy-Syslog- oder dem BSD-Syslog-Protokoll und hat das folgende Format:

• PRI-Nachrichtenabschnitt
• Header-Nachrichtenbereich
• Abschnitt NACHRICHT

Eine Syslog-Nachricht kann niemals 1024 Byte überschreiten by.

PRI-Nachrichtenabschnitt

PRI ist auch als Prioritätswert-Teil der Syslog-Nachricht bekannt, und erinnern Sie sich, dass ich zuvor darüber gesprochen habe, dass Syslog Protokollnachrichten entsprechend der Prioritätsstufe und auch der Art des Netzwerkgeräts oder der Einrichtung sendet. Hier werden all diese Informationen angezeigt. Dieser Teil stellt die Einrichtung und den Schweregrad der Syslog-Meldung dar.

Der Prioritätswert wird erhalten, indem das Produkt der Einrichtungsnummer (der Teil des Systems, der die Nachricht sendet) mit 8 berechnet und dann der numerische Wert des Schweregrads (dies ist die Wichtigkeitsstufe der Nachricht gemäß dem System) addiert wird.

Prioritätswert = (Einrichtungsnummer * 8) + Schweregrad

Header-Nachrichtenbereich

Während sich der PRI-Teil mehr um das System drehte, handelt es sich im Header-Teil mehr um die Informationen, die mit dem Syslog-Ereignis geliefert werden.

Es enthält den Nachrichten-Zeitstempel, den Hostnamen oder die IP-Adresse des Systems. Das Format des Zeitstempelfelds ist:

MM tt hh:mm:ss

Wo:

MM ist der Monat, in dem das Syslog als Abkürzung gesendet wurde. Dies bedeutet, dass der Monat in der Form von Jan, Feb, März, Apr usw. kommt.

dd ist der Tag des Monats, in dem die Nachricht gesendet wurde. Wenn der Tag nicht zweistellig ist, wird der Wert durch ein Leerzeichen und die Zahl anstelle einer 0 und der Zahl dargestellt. Dies bedeutet, dass „7“ verwendet wird, um 7 anstelle von „07“ darzustellen.

hh ist die Stunde des Tages, zu der die Nachricht gesendet wurde, im 24-Stunden-Format. Mit Werten zwischen 00 und 23, mit 00 und 23 inklusive.

mm ist die Minute der Stunde, in der die Nachricht gesendet wurde. Mit Werten zwischen 00 und 59, einschließlich 59.

ss ist die Sekunde der Minute, in der die Nachricht gesendet wurde. Mit Werten zwischen 00 und 59, einschließlich 59.

Ein Beispiel für das obige ist:

8. März 22:30:15

Abschnitt NACHRICHT

Dies ist meistens der Ort, an dem alle benötigten Informationen liegen. Es enthält den Namen des Programms, den Prozess, der zur Generierung der Nachricht geführt hat, und den Text der Nachricht selbst.

Der Nachrichtenteil hat normalerweise das Format: program[pid]: message_text.

Beispiel:

Das Folgende ist eine Beispiel-Syslog-Nachricht: <133>25.02.14:09:07 Webserver syslogd: Neustart. Die Nachricht entspricht folgendem Format: Zeitstempel-Hostnamen-Anwendung: Nachricht.

Am Ende, nach dem Generieren der Nachricht, ist das Parsen ein anderes Ballspiel. Sie können das Syslog mit einer Programmiersprache wie Python, mit regulären Ausdrücken, mit dem XML-Parser und auch mit json analysieren. Ein Log-Parser wie syslog-ng funktioniert perfekt mit Python. Es ermöglicht Ihnen, Ihren eigenen Parser in Python zu schreiben, was viel mehr Kontrolle über die Parsing-Potenziale ermöglicht.

Python ist sehr beliebt zum Scrapen von Daten, so dass Sie leicht Module zum Scrapen der benötigten Daten aus dem Syslog finden können, was die Verarbeitung von Nachrichten, Abfragen von Datenbanken usw. erleichtert. Wenn Sie syslog-ng verwenden möchten, können Sie die OSE-Konfigurationsdatei abrufen und in die Datei einfügen.

Sie sollten jedoch sicherstellen, dass die Umgebungsvariable PYTHON_PATH den Pfad zur Python-Datei enthält und dann die Umgebungsvariable PYTHON_PATH exportieren export.

Beispielsweise:

export PYTHONPATH=/opt/syslog-ng/etc

Das Python-Objekt wird nur einmal initiiert, wenn syslog-ng OSE gestartet oder neu geladen wird. Das heißt, es behält den Status der internen Variablen bei, während syslog-ng OSE ausgeführt wird. Python-Parser bestehen aus zwei Teilen. Das erste ist ein syslog-ng-OSE-Parser-Objekt, das Sie in Ihrer syslog-ng-OSE-Konfiguration verwenden, beispielsweise im Protokollpfad.

Dieser Parser verweist auf eine Python-Klasse, den zweiten Teil der Python-Parser. Die Python-Klasse verarbeitet die empfangenen Protokollnachrichten und kann praktisch alles tun, was Sie in Python codieren können.

Parser  python( klasse("") ); ; python  import re class MyParser(object): def init(self, options):"Optional. Diese Methode wird ausgeführt, wenn syslog-ng gestartet oder neu geladen wird."return True def deinit(self):"Optional. Diese Methode wird ausgeführt, wenn syslog-ng gestoppt oder neu geladen wird."return True def parse(self, msg):"Erforderlich. Diese Methode empfängt und verarbeitet die Protokollnachricht."True zurückgeben ; 

Wenn Sie endlich Ihre Syslog-Datei analysieren können, können Sie auf die Probleme reagieren, die Probleme verursacht haben.

In den meisten Fällen finden Sie die Pfade zu den Verzeichnissen, in denen das Problem liegt, sodass Sie mit dem Befehl „cd“ problemlos in den Verzeichnissen navigieren können.

Mit syslog können Sie mehr Zeit sparen und die Effizienz steigern.