Syslog的格式说明
syslog日志解析原理
syslog日志解析原理
Syslog日志解析原理主要包括以下几个方面：
1. Syslog的消息格式：Syslog通常使用UDP协议发送日志消息，其消息格式一般由标准RF 3164和RFC 5424规范定义。
消息格式包含了消息头和消息内容两部分，消息头中包含了消息的时间戳、主机名、应用程序名等信息，而消息内容则是实际的日志消息。
2. Syslog服务器的监听：Syslog服务器一般会监听UDP的514端口，等待客户端发送过来的日志消息。
当有日志消息到达时，服务器会根据消息的格式进行解析，提取出消息头和消息内容。
3. 解析消息头：解析消息头包括解析时间戳、主机名、应用程序名等信息。
时间戳一般使用UTC时间并且精确到秒级别，主机名和应用程序名可以从消息中直接提取出来。
4. 解析消息内容：解析消息内容主要是将消息内容按照预定义的格式进行解析。
例如，如果消息内容是采用常见的文本格式输出，可以根据换行符将消息内容分隔成多行，然后对每一行进行解析。
5. 存储和分析：解析完成后，可以将解析结果存储到数据库、日志文件或其他持久化存储介质中，以便后续的查询和分析。
存储方式可以根据实际需求来确定，例如可以按照时间进行分区存储，或者按照应用程序名进行分类存储。
总的来说，Syslog日志解析原理是将Syslog消息解析成可理解的格式，提取出关键的信息，并将解析结果存储起来，以便后续的查询和分析。
Syslog 配置介绍
Syslog 简介Syslog是一个通过IP网络允许一台机器发送事件通知信息给事件收集者（Syslog服务器或者Syslog Daemon）的协议。
换言之，就是一台机器或者设备能够被配置，使之产生Syslog 信息并且发送到一台特定的Syslog服务器/Daemon。
Syslog信息建立在UDP之上，一般Syslog信息在UDP514端口上被收集，Syslog信息的长度不大于1024字节。
由于基于UDP协议，所以当如果因为网络拥塞等情况导致信息包丢失，那么信息将不再重发，而是简单的丢失掉。
Syslog协议是在Unix系统上被创建出来的。
使用Syslog，一个远程Unix主机能够很好的跟踪另一台Unix主机。
任何应用程序都能够产生Syslog信息。
格式Syslog包的格式:一个Syslog信息主要有三部分组成。
分别是PRI，HEADER，MSG。
日志信息格式如下：<优先级>时间戳主机名模块名/级别/信息摘要:内容<priority>timestamp sysname module/level/digest:content以上格式中的尖括号（< >）、空格、斜杠（/）、冒号（:）是有效的、必须的。
输出到日志主机的日志格式的例子如下：<189>Jun 7 05:22:03 2003 Quidway IFNET/6/UPDOWN:Line protocol on interface Ethernet0/0/0, changed state to UP以下对每一个字段做详细说明。
1.优先级是优先级的意思，它由两部分组成，共一个字节，前3位是严重度（Severity），后5位是表示Facility。
优先级的计算按如下公式：facility*8+severity-1。
a) 严重度b) Facility2。
Header包括两部分：1>时间戳，它是指信息生成的日期和时间。
linux下syslog使用说明
syslog系统日志应用1) 概述syslog是Linux系统默认的日志守护进程。
默认的syslog配置文件是/etc/syslog.conf文件。
程序，守护进程和内核提供了访问系统的日志信息。
因此，任何希望生成日志信息的程序都可以向 syslog 接口呼叫生成该信息。
几乎所有的网络设备都可以通过syslog协议，将日志信息以用户数据报协议(UDP)方式传送到远端服务器，远端接收日志服务器必须通过syslogd监听UDP 端口514，并根据 syslog.conf配置文件中的配置处理本机，接收访问系统的日志信息，把指定的事件写入特定文件中，供后台数据库管理和响应之用。
意味着可以让任何事件都登录到一台或多台服务器上，以备后台数据库用off-line(离线) 方法分析远端设备的事件。
通常，syslog 接受来自系统的各种功能的信息，每个信息都包括重要级。
/etc/syslog.conf 文件通知 syslogd 如何根据设备和信息重要级别来报告信息。
2) etc/syslog.conf文件格式： facility.level actionfacility.level为选择条件本身分为两个字段，之间用一个小数点分隔。
action和facility.level之间使用TAB隔开。
前一字段是一项服务，后一字段是一个优先级。
选择条件其实是对消息类型的一种分类，这种分类便于人们把不同类型的消息发送到不同的地方。
在同一个syslog配置行上允许出现一个以上的选择条件，但必须用分号（;）把它们分隔开。
action字段所表示的活动具有许多灵活性，特别是，可以使用名称管道的作用是可以使 syslogd 生成后处理信息。
要素分析：facility 指定 syslog 功能，主要包括以下这些：kern 内核信息，首先通过 klogd 传递；user 用户进程；mail 邮件；daemon 后台进程；authpriv 授权信息；syslog 系统日志；lpr 打印信息；news 新闻组信息；uucp 由uucp生成的信息cron 计划和任务信息。
syslog 日志格式
syslog 日志格式Syslog是一种标准日志记录格式，被广泛应用于设备的日志收集、存储和分析。
syslog 的主要特点是可定制化，能够满足不同场景下日志记录的需求。
本文将主要介绍syslog的日志格式、特点和应用场景。
一、syslog 日志格式syslog 日志格式是一种文本格式，由三部分构成：PRI、HEADER和MESSAGE。
其中PRI是日志的优先级，在0~191范围内，数字越大优先级越低，数字越小优先级越高。
HEADER包含放置在尖括号内 P、S、HOSTNAME、TIMESTAMP等信息。
MESSAGE是日志的主体信息，也是最具实际意义的部分，它记录了日志所需要的各种详细信息。
PRI 的格式如下：<优先级>HEADER 的格式如下：P：进程ID；S：进程号；HOSTNAME：主机标识；TIMESTAMP：日志时间戳；MESSAGE的格式可以根据实际场景进行自定义。
例如记录系统状态信息时，MESSAGE需要记录当前CPU占用率、内存使用率、磁盘空间占用率等；而记录安全事件时，MESSAGE可能需要记录被攻击IP、攻击方式、尝试登录用户信息等。
二、syslog的特点1.轻量级。
syslog 是一种轻量级的日志记录格式。
因为它只记录必要的信息，因此日志文件的体积较小，易于管理和维护。
2.可定制化。
syslog可以根据不同应用场景进行定制，记录不同的日志内容，保证日志记录的全面性和准确性。
3.可扩展性。
syslog可以与其他工具进行集成，如ELK、Splunk、Graylog等，从而提高日志的可操作性和可读性。
4.可追溯性。
syslog可以记录ＩＰ地址、进程号、时间戳等信息，可以方便地对日志进行追溯和回溯。
三、syslog的应用场景syslog通常用于以下场景：1.系统监控。
syslog可以记录系统的运行状况和资源使用情况，方便系统管理员了解系统状况。
2.故障排除。
syslog可以帮助维护人员迅速发现系统中的问题，并快速定位原因，从而进行故障排除。
syslog日志的结构
syslog日志的结构一、引言syslog是一种用于记录系统事件和错误的标准协议，它能够帮助管理员监控和分析系统运行情况。
syslog日志的结构是指该日志的格式和组成部分，了解这些结构对于理解日志内容和进行故障排查非常重要。
二、syslog日志的基本结构syslog日志通常由三个部分组成：优先级、时间戳和消息。
下面将详细介绍每个部分的含义和用途。
1. 优先级：syslog日志根据事件的严重程度划分了8个优先级，从0（紧急）到7（调试）。
优先级用于帮助管理员快速识别和处理重要事件。
在日志中，优先级一般由一个数字和一个关键字组成，例如"5: notice"表示事件的优先级为5，属于一般通知。
2. 时间戳：时间戳记录了事件发生的具体时间。
它的格式通常为年-月-日时:分:秒（例如2021-01-01 10:30:00），有时还会包含毫秒级的精确时间。
时间戳对于排查问题的时间顺序和时效性非常重要。
3. 消息：消息部分是syslog日志最关键的部分，它记录了事件的详细信息。
消息可以包含各种各样的内容，例如错误消息、警告、通知、调试信息等等。
消息的内容和格式由具体的应用程序或设备决定。
三、syslog日志的扩展结构syslog日志的基本结构只包含了优先级、时间戳和消息三个部分，但实际应用中往往会对日志进行扩展，以满足更复杂的监控和分析需求。
下面介绍两种常见的扩展结构。
1. 主机名和进程标识：有些syslog日志会在消息部分前面加上主机名和进程标识，以标识事件发生的主机和进程。
主机名和进程标识可以帮助管理员快速定位事件来源，提高故障排查的效率。
2. 设备标识和设备类型：在网络设备和服务器中，日志通常会包含设备标识和设备类型。
设备标识用于唯一标识一个设备，而设备类型则用于区分不同类型的设备。
这些信息对于监控和管理大规模网络非常重要。
四、syslog日志的应用场景syslog日志广泛应用于各种系统和设备中，下面列举几个常见的应用场景。
syslog日志格式解析
syslog⽇志格式解析在⽹上搜的⽂章，写的很全乎。
摘抄如下，供⼤家参考学习1、介绍在Unix类操作系统上，syslog⼴泛应⽤于系统⽇志。
syslog⽇志消息既可以记录在本地⽂件中，也可以通过⽹络发送到接收syslog的服务器。
接收syslog的服务器可以对多个设备的syslog消息进⾏统⼀的存储，或者解析其中的内容做相应的处理。
常见的应⽤场景是⽹络管理⼯具、安全管理系统、⽇志审计系统。
完整的syslog⽇志中包含产⽣⽇志的程序模块（Facility）、严重性（Severity或 Level）、时间、主机名或IP、进程名、进程ID和正⽂。
在Unix类操作系统上，能够按Facility和Severity的组合来决定什么样的⽇志消息是否需要记录，记录到什么地⽅，是否需要发送到⼀个接收syslog的服务器等。
由于syslog简单⽽灵活的特性，syslog不再仅限于 Unix类主机的⽇志记录，任何需要记录和发送⽇志的场景，都可能会使⽤syslog。
长期以来，没有⼀个标准来规范syslog的格式，导致syslog的格式是⾮常随意的。
最坏的情况下，根本就没有任何格式，导致程序不能对syslog 消息进⾏解析，只能将它看作是⼀个字符串。
在2001年定义的RFC3164中，描述了BSD syslog协议：/rfc/rfc3164.txt不过这个规范的很多内容都不是强制性的，常常是“建议”或者“约定”，也由于这个规范出的⽐较晚，很多设备并不遵守或不完全遵守这个规范。
接下来就介绍⼀下这个规范。
约定发送syslog的设备为Device，转发syslog的设备为Relay，接收syslog的设备为Collector。
Relay本⾝也可以发送⾃⾝的syslog给Collector，这个时候它表现为⼀个Device。
Relay也可以只转发部分接收到的syslog消息，这个时候它同时表现为Relay和Collector。
syslog消息发送到Collector的UDP 514端⼝，不需要接收⽅应答，RFC3164建议 Device 也使⽤514作为源端⼝。
syslog协议标准
syslog协议标准syslog 协议是一种网络协议，用于传输系统和应用程序日志的信息。
本文将详细介绍 syslog 协议的标准，包括协议结构、日志消息格式、消息的优先级和设备标识符等内容。
通过阅读本文，读者将了解 syslog 协议的基本原理和使用方式。
一、协议结构syslog 协议的结构由头部、消息体和尾部组成。
头部包含了协议的版本号信息和设备标识符等内容。
消息体是实际的日志信息，可以包含日期时间、主机名、进程 ID、消息优先级和具体的日志内容。
尾部通常是一些附加信息，如校验和和轮询计数器。
二、日志消息格式syslog 协议中的日志消息使用 ASCII 编码，使用可见字符和控制字符组成。
日志消息的格式包括日期和时间、主机名、进程 ID 和消息内容。
日期和时间格式为 ISO8601 格式，并包含时区信息。
主机名表示生成日志的设备的网络地址。
进程 ID 表示生成日志的进程的唯一标识符。
消息内容是实际的日志信息，可以是任意文本。
三、消息的优先级syslog 协议定义了八个不同的优先级，用于标识日志消息的重要程度。
从最高优先级到最低优先级分别是：紧急（emergency）、警报（alert）、关键（critical）、错误（error）、警告（warning）、通知（notice）、信息（informational）和调试（debug）。
每个日志消息都必须指定一个优先级。
四、设备标识符设备标识符是用于标识生成日志的设备的唯一字符串。
通常情况下，设备标识符是设备的 IP 地址或主机名。
生成日志的设备可以自行定义设备标识符的格式和内容。
设备标识符在日志消息的头部中指定。
假设有一台服务器通过 syslog 协议将系统日志发送给远程日志收集器。
服务器的 IP 地址为 192.168.0.1，同时它还安装了一个网站应用程序。
当用户在网站上进行登录时，服务器会记录登录信息并生成一个日志消息。
该登录日志消息将包含日期和时间、主机名（192.168.0.1）、进程 ID（WebServer）、优先级（信息）和具体的日志内容（用户IP地址、登录时间、用户名等）。
Syslog的格式说明
Syslog的格式说明设备必须通过一些规则来配置，以便显示或者传递事件信息。
不管管理员决定怎样配置对事件信息的处理，把这些信息发送到syslog接受者的过程一般都由下面部分构成：决定哪个帮助信息要被发送，要被发送的级别，定义远程的接受者。
被传输的syslog信息的格式主要有3个容易识别出来的部分，分别是PRI、HEADER、MSG。
数据包的长度小于1024个字节。
PRI部分必须有3、4、5个字符，以“<”开头，然后是一个数字，并以“>”结尾。
在方括号内的数字被称为优先级（Priority），由facility和severity两个值构成。
信息中的facilities和severities通过十进制值进行数字的编码。
一些操作系统的后台监控程序和进程被分配一个facility值，那些没有分配一个facility值的进程和daemons 将会使用“local use”的facilities值或者“用户级别”的facilities值。
下面的表格表示被指定的Facilities值和对应的数字代码。
Numerical Code Facility0kernel messages1user-level messages2mail system3system daemons4security/authorization messages5messages generated internally by syslogd6line printer subsystem7network news subsystem8UUCP subsystem9clock daemon10security/authorization messages11FTP daemon12NTP subsystem13log audit14log alert15clock daemon16local use 0(local0)17local use 1(local1)18local use 2(local2)19local use 3(local3)20local use 4(local4)21local use 5(local5)22local use 6(local6)23local use 7(local7)表1Syslog Message Facilities每个信息优先级也有一个表示十进制Severity登记的参数, 下面的表格描述出他们和对应数值。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Syslog的格式说明
设备必须通过一些规则来配置，以便显示或者传递事件信息。
不管管理员决定怎样配置对事件信息的处理，把这些信息发送到syslog接受者的过程一般都由下面部分构成：决定哪个帮助信息要被发送，要被发送的级别，定义远程的接受者。
被传输的syslog信息的格式主要有3个容易识别出来的部分，分别是PRI、HEADER、MSG。
数据包的长度小于1024个字节。
PRI部分必须有3、4、5个字符，以“<”开头，然后是一个数字，并以“>”结尾。
在方括号内的数字被称为优先级（Priority），由facility和severity两个值构成。
信息中的facilities和severities通过十进制值进行数字的编码。
一些操作系统的后台监控程序和进程被分配一个facility值，那些没有分配一个facility值的进程和daemons 将会使用“local use”的facilities值或者“用户级别”的facilities值。
下面的表格表示被指定的Facilities值和对应的数字代码。
Numerical Code Facility
0kernel messages
1user-level messages
2mail system
3system daemons
4security/authorization messages
5messages generated internally by syslogd
6line printer subsystem
7network news subsystem
8UUCP subsystem
9clock daemon
10security/authorization messages
11FTP daemon
12NTP subsystem
13log audit
14log alert
15clock daemon
16local use 0(local0)
17local use 1(local1)
18local use 2(local2)
19local use 3(local3)
20local use 4(local4)
21local use 5(local5)
22local use 6(local6)
23local use 7(local7)
表1Syslog Message Facilities
每个信息优先级也有一个表示十进制Severity登记的参数, 下面的表格描述出他们和对应数值。
Numerical Code Severity
0Emergency 应急EMERY，任何紧急情况，包括系统PANIC。
1Alert 警报ALERT，任何需要立即注意的发生情况
2Critical致命错误CRIT，设备发生了关键性问题情况,包括进程CRASH,OVERFLOW
3Error 错误ERR任何错误的东西，错误事件
4Warning 警告WARNING任何报警，警告事件
5Notice 提示NOTICE，普通但重要的事件
6Informational 信息INFO，有用的信息
7Debug 诊断DEBUG，用于调试，程序，产品设备
表2Syslog Message Severities
Priority（优先级）= facility * 8 + severity值。
比如说，一个核心信息（facility=0）和一个Emergency的severity将会产生优先级为0。
同样，一个“local use 4”信息（facility=20）和一个Notice的severity（severity=5）将会产生165的优先级。
标题（HEADER）部分由称为TIMESTAMP和HOSTNAME的两个域组成，PRI结尾的“>”会马上跟着一个TIMESTAMP，任何一个TIMESTAMP或者HOSTNAME域后面都必须跟着一个空格字符。
HOSTNAME包含主机的名称，若无主机名或无法识别则显示IP地址。
如果一个主机有多个IP地址，它通常会使用它传送信息的那个IP地址。
TIMESTAMP是本机时间，采用的格式是“Mmm dd hh:mm:ss”表示月日时分秒。
HOSTNAME域仅仅能够包括主机名称，Ipv4地址或者是信息产生者的Ipv6地址。
MSG部分是Syslog数据包剩下的部分。
这通常包含了产生信息进程的额外信息，以及信息的文本部分。
MSG部分有两个域，分别为TAG域和CONTENT域，TAG域的值是产生信息的程序或者进程的名称，CONTENT包含了这个信息的详细内容。
传统上来说，这个域的格式较为自由，并且给出一些时间的具体信息。
TAG是一个不许超过32个字符的字母数字字符串，任何一个非字母数字字符都将会终止TAG域，并且被假设是CONTENT域的开始。
在大多数情况下，表示TAG结束的CONTENT域的第一个字符用左大括号( [ ],分号( : )或者是空格来表示。
syslog.conf - syslogd的配置文件详解
syslog.conf文件是syslogd守护进程的主要配置文件，文件定义了记录消息的规则。
每条规则包含两个字段，selector和action。
两个字段用多个空格或跳格分开。
selector字段定义了产生消息的设备和消息的优先权。
action字段是消息的去向。
以#开头的行和空行都被忽略。
现在的syslogd程序可以理解扩展的语法。
比如将一行信息用"\"分成两行。
选择器：
此字段用点(.)分开两个部分--设备和优先权。
两个部分都开以用十进制数来定义，但最好不要那样做，会产生警告,两个部分的取值在syslog(3)中有定义。
设备如下面所示：
auth,authpriv,cron,daemon,kern,lpr,mail,mark,news,
security,syslog,user,uucp和从local0到local7。
（注：security已经不再被使用了;mark也是只限内部使用，不再被用于应用程序。
）
你可以在这里定义或重定向消息。
设备是产生消息的子系统，例如：所有使用syslog的mail程序将使用mail设备记录消息。
优先权从低到高如下：
debug,info,notice,warning,warn(同warning),err,error(同err),
crit,alert,emerg,panic(同emerg).
error,warn,panic是非标准的，不可以使用。
优先权等级定义了消息的格式。
原始BSD的作法是将所有相当或高于给定优先级别的消息都送往指定动作处。
本系统的syslogd也使用同样的规则，不过有所扩展。
此外，"*"可以表示所有设备或所有优先权，取决于其位置。
none表示没有优先权。
可以用","分开来定义多个设备，优先权部分不可以这样做。
多个selector可以用","来分开使其指向一个action，务必记住，每个selector 都可以重写前一个。
使用这条规则，可以从表达式中除去一些优先权。
本系统的syslogd(8)在原BSD基础上有些扩充。
你可以在一个优先权的前面加上一个"="符号，表示只定义这一个优先权而不含高于其的优先权。
还可以用"!"符号来取反，即取小于其优先权。