Gostaria de analisar alguns arquivos syslog personalizados ( appliance de rede ) para criar minha própria saída formatada.
Como sou novo no syslog-ng & patterndb Eu tenho tentado construir um exemplo usando a documentação - meu trabalho até agora está aqui: link
No exemplo, gostaria de ler o arquivo syslog (testfile.log):
Accepted password for sampleuser from 10.50.0.247 port 42156 ssh2
Accepted password for user from 10.51.0.27 port 4256 ssh2
E produza apenas uma lista de nomes de usuário & endereços IP, como:
sampleuser; 10.50.0.247;
user; 10.51.0.27;
Para analisar o arquivo de log, criei o seguinte patterndb (example.xml):
<patterndb version='4' pub_date='2010-10-17'>
<ruleset name='ssh' id='123456678'>
<pattern>ssh</pattern>
<rules>
<rule provider='me' id='182437592347598' class='system'>
<patterns>
<pattern>Accepted @ESTRING:SSH.AUTH_METHOD: @for @ESTRING:SSH_USERNAME: @from @ESTRING:SSH_CLIENT_ADDRESS: @port @NUMBER:SSH_PORT_NUMBER:@ ssh2</pattern>
</patterns>
<examples>
<example>
<test_message program="ssh">Accepted password for sampleuser from 10.50.0.247 port 42156 ssh2</test_message>
<test_values>
<test_value name="SSH.AUTH_METHOD">password</test_value>
<test_value name="SSH_USERNAME">sampleuser</test_value>
<test_value name="SSH_CLIENT_ADDRESS">10.50.0.247</test_value>
<test_value name="SSH_PORT_NUMBER">42156</test_value>
</test_values>
</example>
</examples>
</rule>
</rules>
</ruleset>
</patterndb>
No entanto, quando eu uso o SSH_USERNAME & Variáveis SSH_CLIENT_ADDRESS no meu syslog-ng.conf
destination test_output {
file("/home/nick/output.log"
template("${SSH_USERNAME}; ${SSH_CLIENT_ADDRESS}; \n")
template_escape(no)
);
};
- [versão completa pode ser vista no GIST] -
O arquivo de saída (output.log) está vazio
; ;
; ;
Existe alguma hierarquia ou maneira especial de usar variáveis customizadas ou patterndb no syslog-ng.conf que estou perdendo?
Obrigado antecipadamente!