Le gestion des logs Syslog

Présentation au sujet: "Le gestion des logs Syslog"— Transcription de la présentation:

1 Le gestion des logs Syslog

2 Syslog Présentation générale Principes de fonctionnement
Le format syslog Niveaux de gravité Facilités L'offre Syslog Rsyslog Syslog-ng Mise en oeuvre

3 Présentation générale
Syslog est un protocole définissant les journaux d'évènements systèmes Conçu en 1980 par E. Allman dans le cadre de du projet sendmail C'est devenu un standard de fait pour les système Unix documenté par le RFC 3164 Syslog utilise les sockets Utilise en standard le port UDP 514

4 Présentation générale - suite
Protocole client-serveur Permet la centralisation des logs Protocole utilisé par de nombreux dispositifs réseau (routeurs, switch, imprimantes) Dispositif important

5 Le format syslog Sep 14 14:09:09 machine_de_test dhcp service[warning] 110 corps du message Jan 31 12:00:19 proxy dhclient: last message repeated 5 times Jan 31 12:01:23 proxy dhclient: last message repeated 4 times Jan 31 12:01:24 proxy dhclient: DHCPREQUEST of on eth1 to port 67 Jan 31 12:01:31 proxy named[1847]: error (network unreachable) resolving ' r. radar.cedexis.net/A/IN': 2001:503:ba3e::2:30#53 Jan 31 12:01:35 proxy dhclient: DHCPREQUEST of on eth1 to port 67 Jan 31 12:01:40 proxy ntpd[5940]: kernel time sync status change 6001 Jan 31 12:01:49 proxy dhclient: DHCPREQUEST of on eth1 to port 67 Jan 31 12:02:33 proxy dhclient: last message repeated 3 times Jan 31 12:02:33 proxy dhcpd: DHCPINFORM from via vlan4: unknown subnet for client address 11 Jan 31 12:02:33 proxy dhcpd: DHCPINFORM from via eth0: unknown subnet for client address 1 Jan 31 12:02:34 proxy dhclient: DHCPREQUEST of on eth1 to port 67 Jan 31 12:03:38 proxy dhclient: last message repeated 5 times

6 Les niveaux de gravité 0 Emerg (emergency) => Système inutilisable
1 Alert => Une intervention immédiate est nécessaire 2 Crit (critical) => Erreur critique pour le système 3 Err (error) => Erreur de fonctionnement 4 Warning => Avertissement 5 Notice => Événement normal méritant d'être signalé 6 Info (informational) => pour information seulement 7 Debug => Message de mise au point 8 none => Ignorer ce message

7 Les facilités Identifiant Origine 0 kernel messages
1 user-level messages 2 mail system 3 system daemons 4 security/authorization messages 5 messages generated internally by syslogd 6 line printer subsystem 7 network news subsystem 8 UUCP subsystem 9 clock daemon 10 security/authorization messages 11 FTP daemon 12 NTP subsystem 13 log audit 14 log alert 15 clock daemon (note 2) local use 0 à 7

8 L'écriture dans syslog La journalisation dans syslog (local ou distant) se fait via : logger[1] (commande Unix) pour les scripts shell vsyslog() ou syslog()[2] pour les programmes compilés ; ce sont des fonctions implémentées dans des bibliothèques logicielles

9 L'offre : syslog C'est le programme original
Des fonctionnalités un peu limitées Moins utilisé et remplacé peu à peu par rsyslog et syslog-ng

10 L'offre : rsyslog Début du projet en 2004
Devenu le syslog standard pour Debian, Ubuntu et Fedora Fonctionnalités : Timestamps ISO 8601 à la timestamp with milliseconde Gère les relais : possibilité de connaître le chemin parcourus par les messages transport sur TCP support GSS-API et TLS Stockage dans les bases de sdonnées support du nouveau syslog IETF

11 L'offre : syslog-ng Plus moderne que syslog mais moins répandu que rsyslog

12 Mise en oeuvre Installé en standard sur toutes les machines Unix/Linux (rsyslog sur Debian/Ubuntu) Paquetage rsyslog Fichier de configuration /etc/rsyslog.conf Contien des origines selon le modèle suivant : facility.criticity

13 Mise en oeuvre : rsyslog.conf
Exemple : daemon.* /var/log/daemon.log user.crit @serveurlog kern.* /var/log/kern.log lpr.* /var/log/lpr.log mail.info /var/log/mail.info mail.warn /var/log/mail.warn mail.err /var/log/mail.err

14 Mise en oeuvre - suite Auth/authpriv => traces sécurité/identifiantion cron => traces d'un cron daemon.* => trace d'un daemon kern.* => traces du noyau lpr.* => traces du système d'impression mail => traces du système de messagerie news => traces d'un service de news/réseau syslog => traces du service syslog lui-même user => trace des processus utilisateur local0 à => traces issues des klogd

15 Mise en oeuvre Redirection des logs sur un serveur distant d'adresse : *.* @ :514 Même chose mais sur TCP: *.* Sur le serveur : ne pas oublier d'activer l'écoute sur le port UDP correspondant