如果我在syslog-ng中有一个条目 log { source (src); filter (filter1); filter (filter2); filter (filter3); filter (filter4); destination (all_log) } 而且，说filter4是一个非常宽松的filter， filter3是一个filter来消除一对filter3主机。 如果filter2和/或filter1允许这些令人讨厌的主机之一，它会被logging？
我有传统上通过syslog-ng保存在/ var / log /pipe道中的日志。 日志可以达到每天的TB级大小。 为了使他们更易于pipe理。 我想通过服务器和应用程序群集将其分解出来。 这是做这件事的最好方法吗？ 我该如何使用可pipe理的Syslog-ng来做到这一点？
我在我的iptables和syslog文件中有以下configuration： IPTABLES -A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p tcp -m tcp –dport 80 -j ACCEPT -A INPUT -p tcp -m tcp –dport 222 -j ACCEPT -A INPUT -p tcp -m tcp –dport 3306 -j ACCEPT -A INPUT -j DROP -A INPUT -m limit –limit 5/min -j LOG –log-prefix "iptables denied: […]
我正在使用syslog-ng的mongodb插件，它工作的很好，但我找不到一种方法来定制保存日志条目的格式（“DATE”，“FACILITY”，…）。 有谁知道如何做到这一点？ 我能find的所有信息都在这里 （有用，但过时）， 在这里 （错过了这一点）。
在Windows中，我正在使用“Eventlog到Syslog”实用程序将事件日志发送到Linux系统日志服务器（syslog-ng）。 但是，我不能做一些日志文件，特别是在IIS日志的情况下。 为什么命名工具不可能？ 我怎么能发送这些日志文件到系统日志服务器使用事件日志到系统日志工具？
我们使用log4j SyslogAppender将我们的日志语句发送到syslog-ng。 一旦这些消息在syslog-ng中，我们就无法使syslog-ng识别出一个堆栈跟踪与适当的日志语句。 因此，当我们过滤消息（我们分离出用于监视警报的ERROR级别语句）时，堆栈跟踪会丢失。 有谁知道是否有可能做到这一点？ 我们在Gentoo上使用syslog-ng版本3.1.4的开源版本。
编辑：感谢您的帮助 这是一个设置的快速构思： networking服务器X 在apache httpd.conf中： LogFormat "%v %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" vcombined CustomLog "|/usr/bin/logger -p local6.info -t access " vcombined 在rsyslog.conf中： *.* @logserver 的LogServer 系统日志，ng.conf是否： … parser p_apache {csv-parser(columns( "APACHE.VIRTUAL_HOST", "APACHE.CLIENT_IP", "APACHE.IDENT_NAME", "APACHE.USER_NAME", "APACHE.TIMESTAMP", "APACHE.REQUEST_URL", "APACHE.REQUEST_STATUS", "APACHE.CONTENT_LENGTH", "APACHE.REFERER", "APACHE.USER_AGENT", "APACHE.PROCESS_TIME", "APACHE.SERVER_NAME") # flags: # escape-none,escape-backslash,escape-double-char, # strip-whitespace flags(escape-double-char,strip-whitespace) delimiters(" ") […]
我已经把Zenoss的Zensyslog连接起来了，这样来自分布式客户机列表的消息就都集成在了Zenoss服务器上的事件中。 这真是太棒了，我可以通过简单的使用logger命令来打消消息： logger -t webserver_is_down "The web server is down" 我希望能够做的事情也发布一个事件，清理networking服务器时出现。 logger -t webserver_is_up "The web server is up" 我试图设置这个与事件类，但没有骰子。 是否有一个与Zenoss的清除/ 0级别相关的Syslog级别？ 有没有另一种简单的方法来做到这一点？ 谢谢你提供的所有帮助！
我有snort监听思科交换机的SPAN端口。 我希望能够在我的networking服务器上添加一个iptables DROP规则来针对特定的snort警报，但是很难find如何做到这一点。 我希望阻止实时发生，而不是通过cron启动脚本来周期性地拖动snort日志。 我在Seclists上find了一个例子 ，它使用syslog-ng来运行一个shell脚本，但是它必须是一个早期版本的syslog-ng，因为当我重新启动syslog-ng时，我得到了一个关于不赞成使用的语法的错误。 我对syslog-ngfilter知之甚less，所以我们会对此做更多的研究，因为它看起来很有希望，但是我认为如果有更好的方法，我会提出这个问题。 当Snort警报通过我的snort盒子的SPAN端口时，运行shell脚本的好方法是什么？
如何configurationsyslog-ng来发送主机名和IP地址。 目前，日志是通过设备/机器的IP地址发送的，但是我们想添加主机名，这样我就可以使用正确的主机名保持我的IPpipe理数据库（不，我不使用DHCP :)）