主页 / user-852385

Allan's questions

Martin Hope
Allan
Asked: 2022-03-29 02:41:00 +0800 CST
  • 0

据我了解，流行的系统日志格式有：

  • RFC 3124（BSD 系统日志）：

    格式： <优先级>时间戳主机名应用：消息

    示例： <133>Feb 25 14:09:07 webserver syslogd: restart

  • RFC 5424（IETF 系统日志）：

    格式： <优先级>VERSION ISOTIMESTAMP HOSTNAME APPLICATION PID MESSAGEID STRUCTURED-DATA MSG

    示例： <34>1 2003-10-11T22:14:15.003Z mymachine.example.com su - ID47 - BOM'su root' 在 /dev/pts/8 上为 lonvick 失败

但是让我们看看其他公司的日志格式：

  • 思科：

    示例： *Jan 18 03:02:42: %LINEPROTO-5-UPDOWN: 接口 GigabitEthernet0/0 上的线路协议，将状态更改为关闭

  • Fortinet（在这里你可以看到键值对中的 syslog。这甚至是 syslog 吗？）

    示例： <190>date=2015-03-30 time=14:42:11 logid=0508020503 type=utm subtype=emailfilter eventtype=smtp level=information vd="root" sessionid=83879670 srcip=12.130.136.122 srcport=48137 dstip=xxxx dstport=25 proto=6 service=SMTP profile="EF_Example" action=log-only from="[email protected]" to="mail2@xx" sender="[email protected] "收件人="mail2@xx" sentbyte=15369 rcvdbyte=46 direction=outgoing msg="一般电子邮件日志" subject="Novos Treinamentos para Certificação Trend Micro" size="15360" attachment=no

  1. 这是否意味着可以根据自己的需要修改 syslog 格式。那么如果不同的公司遵循不同的 syslog 格式，那么 SIEM 软件如何解析这些日志呢？
  2. 如果不同的公司遵循不同的日志记录实践，那么拥有 RFC 有什么意义呢？
  3. 我的最后一个问题，这些甚至是系统日志格式吗？
linux