Dzielenie wiadomości syslog-ng
Chcę zachować oryginalny adres IP
sshdzapisywanie logu do bazy danych mysql od wewnątrz
syslog-ng... Obecnie mam określony filtr, który pasuje do podciągu żądanego wpisu dziennika.
Mogę jednak zapisać wpis dziennika w całości w DB
$MSGCzęść wpisu syslog zawiera wiele niepotrzebnych danych, których nie potrzebuję. Czy istnieje sposób na „podzielenie” pól wpisu syslog, tak aby w bazie danych zapisywany był tylko adres IP?
To jest moja konfiguracja:
filter f_sshd
{
# (log entry) Sep 5 14:59:20 myhost4 sshd Starting session: shell on pts/0 for rbackup from 10.120.192.25 port 36894 id 0
match("Starting session:" value ("MESSAGE") );
};
destination d_sshd
{
sql( type(mysql)
username("xxxxx")
password("xxxxxxx")
database("syslog")
host("localhost")
table("ssh")
columns("host", "facility", "priority", "level", "pid", "tag", "timestamp", "program", "msg")
values("$HOST", "$FACILITY", "$PRIORITY", "$LEVEL", "$PID", "$TAG","$YEAR-$MONTH-$DAY $HOUR:$MIN:$SEC","$PROGRAM", "$MSG")
indexes("timestamp", "host", "program", "pid", "message"));
};log
{
# s_stunnel is defined in syslog-ng/conf.d/stunnel.conf
source(s_stunnel);
filter(f_sshd);
destination(d_sshd);
};
Nie znaleziono powiązanych wyników
Zaproszony:
Aby odpowiedzieć na pytania, Zaloguj się lub Zarejestruj się
1 odpowiedzi
Anonimowy użytkownik
Potwierdzenie od:
syslog-ng-patterndb
https://github.com/balabit/syslog-ng-patterndb
aby wyodrębnić części wiadomości.
Utwórz plik XML, aby zdefiniować parser (
):
Następnie w twoim
:
Zdefiniuj parser:
Wywołaj parser w dyrektywie dziennika:
Użyj zmiennej
z parsera w miejscu docelowym:
Uruchamianie testu jednostkowego:
Powinien wrócić:
Zaczerpnięte z tego linku:
https://gist.github.com/linickx/8002981
https://gist.github.com/linickx/8002981
Edytuj swój komentarz poniżej:
W idealnym przypadku klucz SSH_TERMINAL mógłby pochłonąć wszystko, od spacji po sesji do samego słowa
Zmodyfikuj szablon w XML w następujący sposób:
Który zwraca:
Więcej informacji na temat parserów szablonów:
https://www.syslog-ng.com/tech ... de/72
https://www.syslog-ng.com/tech ... de/72