📜 Syslog : Полное руководство

Несколько клиентов производят данные и отправляют их на централизованный сервер syslog, который отвечает за агрегацию и хранение данных клиентов.

Если мы хотим усложнить нашу архитектуру, мы можем добавить “релей”.

Примерами ретрансляторов могут быть, например, экземпляры Logstash, но они также могут быть правилами rsyslog на стороне клиента.

Эти релеи в большинстве случаев действуют как “маршрутизаторы на основе содержимого”

Это означает, что на основе содержимого журнала данные будут перенаправлены в разные места.

Данные также могут быть полностью отброшены, если они вас не интересуют.

Теперь, когда мы подробно рассмотрели компоненты Syslog, давайте посмотрим, как выглядит сообщение Syslog.

Какой формат сообщений Syslog?

Формат syslog делится на три части:

• Часть PRI: в которой подробно описываются уровни приоритета сообщения (от отладочного сообщения до экстренного), а также уровни средств (mail, auth, core);
• Часть HEADER: состоит из двух полей – TIMESTAMP и HOSTNAME, имя хоста – это имя машины, которая отправляет лог;
• часть MSG: эта часть содержит фактическую информацию о произошедшем событии. Она также делится на поле TAG и поле CONTENT.

Перед тем как подробно описать различные части формата syslog, давайте кратко рассмотрим уровни серьезности syslog, а также уровни объектов syslog.

 Что такое уровни объектов Syslog?

Вкратце, уровень объекта используется для определения программы или части системы, которая создала журналы.

По умолчанию некоторые части вашей системы имеют уровни объектов, например, ядро использует объект kern, или ваша почтовая система использует объект mail.

Если сторонний пользователь хочет выпустить журнал, он, вероятно, будет использовать зарезервированный набор уровней объектов с 16 по 23, называемый “локальным использованием”.

В качестве альтернативы, они могут использовать объект “уровень пользователя”, что означает, что они будут выдавать журналы, относящиеся к пользователю, который выдавал команды.

Короче говоря, если мой сервер Apache запущен пользователем “apache”, то журналы будут храниться в файле под названием “apache.log” (<user>.log).

Ниже приведены уровни Syslog, описанные в таблице:

В системе Linux, по умолчанию, файлы разделяются по имени объекта, что означает, что у вас будет файл для auth (auth.log), файл для ядра (kernel.log) и так далее.

Пример на Kali Linux:

Теперь, когда мы рассмотрели уровни объектов syslog, давайте опишем, что такое уровни серьезности syslog.

Что такое уровни серьезности Syslog?

Уровни серьезности Syslog используются для определения степени серьезности события журнала и варьируются от отладочных, информационных сообщений до аварийных уровней.

Аналогично уровням объектов Syslog, уровни серьезности делятся на числовые категории от 0 до 7, причем 0 – это самый критический аварийный уровень.

Ниже приведены уровни серьезности Syslog, описанные в таблице:

Даже если по умолчанию журналы хранятся по имени объекта, вы вполне можете решить, что вместо этого они будут храниться по уровням серьезности.

Если вы используете rsyslog в качестве сервера по умолчанию, вы можете проверить свойства rsyslog, чтобы настроить способ разделения логов.

Теперь, когда вы знаете немного больше об объектах и уровнях серьезности, давайте вернемся к формату сообщений syslog.

Что такое часть PRI?

Часть PRI – это первая часть, которую вы сможете прочитать в сообщении формата syslog.

PRI хранит “Значение приоритета” между угловыми скобками.

Если вы возьмете номер объекта сообщения, умножите его на восемь и добавите уровень серьезности, вы получите “Значение приоритета” вашего сообщения syslog.

Запомните это, если вы захотите расшифровать сообщение syslog в будущем.

Что такое часть HEADER?

Как уже говорилось, часть HEADER состоит из двух важнейших данных: части TIMESTAMP и части HOSTNAME (которая иногда может быть преобразована в IP-адрес).

Часть HEADER следует непосредственно за частью PRI, сразу после угловой скобки.

Следует отметить, что часть TIMESTAMP имеет формат “Mmm dd hh:mm:ss”, “Mmm” – это первые три буквы месяца года.

Когда речь идет о HOSTNAME, оно часто задается при вводе команды hostname.

Если оно не найдено, ему будет присвоен либо IPv4, либо IPv6 хоста.

Как работает доставка сообщений Syslog?

При выдаче сообщения syslog вы хотите быть уверены, что используете надежные и безопасные способы доставки данных журнала.

Конечно, Syslog имеет свое мнение на этот счет, и вот несколько ответов на эти вопросы.

Что такое пересылка syslog?

Syslog forwarding заключается в отправке журналов клиентов на удаленный сервер для их централизации, что облегчает анализ и визуализацию журналов.

В большинстве случаев системные администраторы следят не за одной машиной, а за десятками машин, как на месте, так и вне его.

Как следствие, очень распространена практика отправки журналов на удаленную машину, называемую централизованным сервером регистрации, с использованием различных протоколов связи, таких как UDP или TCP.

Syslog использует TCP или UDP?

Как указано в спецификации RFC 3164, клиенты syslog используют UDP для доставки сообщений на серверы syslog.

Более того, Syslog использует порт 514 для связи по UDP.

Однако в последних реализациях syslog, таких как rsyslog или syslog-ng, у вас есть возможность использовать TCP (Transmission Control Protocol) в качестве безопасного канала связи.

Например, rsyslog использует порт 10514 для связи по TCP, гарантируя, что ни один пакет не будет потерян по пути.

Более того, вы можете использовать протокол TLS/SSL поверх TCP для шифрования пакетов Syslog, что гарантирует, что никакие атаки типа “человек посередине” не смогут подсмотреть ваши журналы.

Каковы текущие реализации Syslog?

Syslog – это спецификация, но не фактическая реализация в системах Linux.

Вот список текущих реализаций Syslog в Linux:

• Демон Syslog: опубликованный в 1980 году, демон syslog, вероятно, является первой реализацией, которая поддерживает только ограниченный набор функций (таких как передача UDP). В Linux он наиболее известен как демон sysklogd;
• Syslog-ng: опубликованный в 1998 году, syslog-ng расширяет набор возможностей оригинального демона syslog, включая TCP-пересылку (что повышает надежность), шифрование TLS и фильтры на основе содержимого. Вы также можете сохранять журналы в локальных базах данных для дальнейшего анализа.
  Презентационная карта Syslog-ng
• Rsyslog: выпущенный в 2004 году Райнером Герхардсом, rsyslog поставляется как реализация syslog по умолчанию в большинстве актуальных дистрибутивов Linux (Ubuntu, RHEL, Debian и т.д.). Он предоставляет тот же набор функций, что и syslog-ng для пересылки, но позволяет разработчикам получать данные из большего количества источников (например, Kafka, файл или Docker).