Identificando quem está registrando no meu dispositivo

Question

Eu tenho uma máquina que agrega dados de syslog de muitos dispositivos, eu mantenho todos os dispositivos que eu quero para fazer o registro em meu dispositivo em / etc / hosts para que todos tenham nomes que eu entenda . Se um dispositivo se conecta à minha máquina que não está em / etc / hosts, eu gostaria de ter algo mais log para que eu possa descobrir o que é esse host e alertá-lo.

Eu tenho que pegar todos os logs que são lançados em meus dispositivos, colocá-los em um arquivo e filtrar apenas minimamente, então às vezes eu uso mais de 12 GB de logs por dia. Por causa do tamanho do log over time (que é rotacionado diariamente) eu não quero fazer algo como cat / tr / cut / grep do log em um cronjob.

Existem outros recursos no syslog-ng, nos truques do Linux ou nos ajustes do iptables que ajudariam a identificar quando as mensagens de log chegam de um host não identificado?

    

Answer 1

Eu não estou familiarizado com o syslog-ng (eu uso o rsyslog e outros) mas eu acho que o que você realmente deveria ter é um mapa que pegue o source-ip ou identifier, e retorna o que você quer chamá-lo, presumivelmente, há um padrão que você pode usar também.

Em link

map-value-pairs: Rename value-pairs to normalize logs template and rewrite: Format, modify, and manipulate log messages > Modifying messages using rewrite rules > map-value-pairs: Rename value-pairs to normalize logs The map-value-pairs() parser allows you to map existing name-value pairs to a different set of name-value pairs. You can rename them in bulk, making it easy to use for log normalization tasks (for example, when you parse information from different log messages, and want to convert them into a uniform naming scheme). You can use the normal value-pairs expressions, similarly to value-pairs based destinations.

Available in syslog-ng OSE version 3.10 and later.

Declaration: parser parser_name {
    map-value-pairs(
        <list-of-value-pairs-options>
    ); };

E, em seguida, usou a saída desse mapa em um modelo.

E de link

destination d_file {
    file("/var/log/${YEAR}.${MONTH}.${DAY}/messages"
         template("${HOUR}:${MIN}:${SEC} ${TZ} ${HOST} [${LEVEL}] ${MESSAGE}\n")
         template-escape(no));
};