› ›

Syslog

syslog 处理器解析存储在字段中的 RFC 3146 和/或 RFC 5424 格式的 syslog 消息。该处理器本身不处理从外部源接收 syslog 消息。这是通过输入完成的，例如 TCP 输入。某些集成在通过配置启用时，将嵌入 syslog 处理器来处理 syslog 消息，例如自定义 TCP 日志和自定义 UDP 日志。

示例

编辑

  - syslog:
      field: message

{
  "message": "<165>1 2022-01-11T22:14:15.003Z mymachine.example.com eventslog 1024 ID47 [exampleSDID@32473 iut=\"3\" eventSource=\"Application\" eventID=\"1011\"][examplePriority@32473 class=\"high\"] this is the message"
}

将产生以下输出

{
  "@timestamp": "2022-01-11T22:14:15.003Z",
  "log": {
    "syslog": {
      "priority": 165,
      "facility": {
        "code": 20,
        "name": "local4"
      },
      "severity": {
        "code": 5,
        "name": "Notice"
      },
      "hostname": "mymachine.example.com",
      "appname": "eventslog",
      "procid": "1024",
      "msgid": "ID47",
      "version": 1,
      "structured_data": {
        "exampleSDID@32473": {
          "iut":         "3",
          "eventSource": "Application",
          "eventID":     "1011"
        },
        "examplePriority@32473": {
          "class": "high"
        }
      }
    }
  },
  "message": "this is the message"
}

配置设置

编辑

Elastic Agent 处理器在 ingest 管道之前执行，这意味着您的处理器配置不能引用由 ingest 管道或 Logstash 创建的字段。有关更多限制，请参阅使用处理器有哪些限制？

名称	必需	默认值	描述
`field`	是	`message`	包含 syslog 消息的源字段。
`format`	否	`auto`	要使用的 Syslog 格式：`rfc3164` 或 `rfc5424`。要从日志条目自动检测格式，请将此选项设置为 `auto`。
`timezone`	否	`本地`	IANA 时区名称（例如，`America/New York`）或固定时间偏移量（例如，`+0200`），用于解析不包含时区的 syslog 时间戳。指定 `Local` 以使用计算机的本地时区。
`overwrite_keys`	否	`true`	事件中已存在的键是否会被 syslog 消息中的键覆盖。
`ignore_missing`	否	`false`	是否忽略丢失的字段。如果 `true`，则当指定的字段不存在时，处理器不会返回错误。
`ignore_failure`	否	`false`	是否忽略处理器产生的所有错误。
`tag`	否		此处理器的标识符。用于调试。

时间戳

编辑

RFC 3164 格式接受以下形式的时间戳

本地时间戳 (Mmm dd hh:mm:ss)
- Jan 23 14:09:01
RFC-3339*
- 2003-10-11T22:14:15Z
- 2003-10-11T22:14:15.123456Z
- 2003-10-11T22:14:15-06:00
- 2003-10-11T22:14:15.123456-06:00

随 RFC 3164 消息一起提供的本地时间戳（例如，Jan 23 14:09:01）缺少年份和时区信息。将使用 timezone 配置选项来丰富时区，并使用系统的本地时间（考虑时区）来丰富年份。因此，消息可能会出现在未来。例如，如果 2021 年 12 月 31 日生成的日志在 2022 年 1 月 1 日被摄取，则可能会发生这种情况。这些日志将使用 2022 年而不是 2021 年来丰富。

RFC 5424 格式接受以下形式的时间戳

RFC-3339
- 2003-10-11T22:14:15Z
- 2003-10-11T22:14:15.123456Z
- 2003-10-11T22:14:15-06:00
- 2003-10-11T22:14:15.123456-06:00

带有星号 (*) 的格式是非标准允许的。

结构化数据

编辑

对于 RFC 5424 格式的日志，如果结构化数据无法按照 RFC 标准解析，则原始结构化数据文本将附加到消息字段的前面，并用空格分隔。

« 脚本处理器时间戳 »