В вычислительной технике syslog / ˈsɪslɒɡ / является стандартом регистрации сообщений . _ _ _ _ Это позволяет разделить программное обеспечение, генерирующее сообщения, систему, которая их хранит, и программное обеспечение, которое сообщает и анализирует их. Каждое сообщение помечается кодом объекта, указывающим тип системы, генерирующей сообщение, и ему присваивается уровень серьезности.
Разработчики компьютерных систем могут использовать системный журнал для управления системой и аудита безопасности, а также для общих информационных, аналитических и отладочных сообщений. Широкий спектр устройств, таких как принтеры, маршрутизаторы и приемники сообщений на многих платформах, используют стандарт системного журнала. Это позволяет консолидировать данные журналов из разных типов систем в центральном хранилище. Реализации системного журнала существуют для многих операционных систем.
При работе в сети системный журнал использует клиент-серверную архитектуру, при которой сервер системного журнала прослушивает и регистрирует сообщения, поступающие от клиентов.
Системный журнал был разработан в 1980-х годах Эриком Оллманом как часть проекта Sendmail . [1] Он был легко принят другими приложениями и с тех пор стал стандартным решением для ведения журналов в Unix-подобных системах. [2] В других операционных системах также существуют различные реализации, которые обычно встречаются в сетевых устройствах, таких как маршрутизаторы . [3]
Первоначально системный журнал функционировал как стандарт де-факто без каких-либо авторитетных опубликованных спецификаций, и существовало множество реализаций, некоторые из которых были несовместимы. Рабочая группа по проектированию Интернета задокументировала статус-кво в RFC 3164 в августе 2001 года. Он был стандартизирован RFC 5424 в марте 2009 года. [4]
Различные компании пытались получить патенты на конкретные аспекты реализации системного журнала. [5] [6] Это мало повлияло на использование и стандартизацию протокола. [ нужна цитата ]
Информация, предоставляемая отправителем сообщения системного журнала, включает код объекта и уровень серьезности. Программное обеспечение системного журнала добавляет информацию в информационный заголовок перед передачей записи получателю системного журнала. К таким компонентам относятся идентификатор процесса-инициатора, временная метка и имя хоста или IP-адрес устройства.
Код объекта используется для указания типа системы, регистрирующей сообщение. Сообщения с разными возможностями могут обрабатываться по-разному. [7] Перечень доступных возможностей описан стандартом: [4] : 9
Сопоставление между кодом средства и ключевым словом неодинаково в разных операционных системах и реализациях системного журнала. [8]
Перечень серьезностей также описывается стандартом: [4] : 10.
Значения уровней серьезности, отличных от Emergency и Debug, относятся к приложению. Например, если целью системы является обработка транзакций для обновления информации о балансе счетов клиентов, ошибке на последнем этапе должен быть присвоен уровень оповещения. Однако ошибке, возникающей при попытке отобразить почтовый индекс клиента, может быть присвоен уровень «Ошибка» или даже «Предупреждение» .
Серверный процесс, обрабатывающий отображение сообщений, обычно включает все более низкие (более серьезные) уровни, когда запрашивается отображение менее серьезных уровней. То есть, если сообщения разделены по индивидуальному уровню серьезности, запись уровня предупреждения также будет включена при фильтрации сообщений «Уведомление» , «Информация» и «Отладка» . [11]
В RFC 3164 компонент сообщения (известный как MSG) был указан как имеющий следующие поля: TAG , который должен быть именем программы или процесса, сгенерировавшего сообщение, и CONTENT , который содержит сведения о сообщении.
Описано в RFC 5424, [4] «MSG — это то, что в RFC 3164 называлось CONTENT. TAG теперь является частью заголовка, а не одним полем. TAG разделен на APP-NAME, PROCID и MSGID. Это не совсем похоже на использование TAG, но обеспечивает ту же функциональность в большинстве случаев». Популярные инструменты системного журнала, такие как Rsyslog, соответствуют этому новому стандарту.
Поле содержимого должно быть закодировано в наборе символов UTF-8 , и следует избегать значений октетов в традиционном диапазоне управляющих символов ASCII . [12] [4]
Сгенерированные сообщения журнала могут быть направлены в различные места назначения, включая консоль , файлы, удаленные серверы системного журнала или реле. Большинство реализаций предоставляют утилиту командной строки, часто называемую logger , а также программную библиотеку для отправки сообщений в журнал. [13]
Для отображения и мониторинга собранных журналов необходимо использовать клиентское приложение или получить доступ к файлу журнала непосредственно в системе. Основные инструменты командной строки — Tail и Grep . Серверы журналов можно настроить для отправки журналов по сети (в дополнение к локальным файлам). Некоторые реализации включают программы отчетности для фильтрации и отображения сообщений системного журнала.
При работе по сети системный журнал использует архитектуру клиент-сервер , при которой сервер прослушивает общеизвестный или зарегистрированный порт на предмет запросов протокола от клиентов. Исторически наиболее распространенным протоколом транспортного уровня для сетевого журналирования был протокол пользовательских дейтаграмм (UDP), при этом сервер прослушивал порт 514. [14] Поскольку в UDP отсутствуют механизмы контроля перегрузки, используется порт 6514 протокола управления передачей (TCP); Безопасность транспортного уровня также требуется в реализациях и рекомендуется для общего использования. [15] [16]
Поскольку каждый процесс, приложение и операционная система были написаны независимо, полезная нагрузка сообщения журнала мало единообразна. По этой причине не делается никаких предположений относительно его форматирования или содержания. Сообщение системного журнала отформатировано (RFC 5424 дает определение расширенной формы Бэкуса-Наура (ABNF)), но его поле MSG — нет.
Сетевой протокол представляет собой симплексную связь , без каких-либо средств подтверждения доставки отправителю.
Различные группы работают над проектами стандартов, подробно описывающими использование системного журнала не только для регистрации событий сети и безопасности, например, его предлагаемое применение в среде здравоохранения. [17]
Нормативные акты, такие как Закон Сарбейнса-Оксли , PCI DSS , HIPAA и многие другие, требуют от организаций внедрения комплексных мер безопасности, которые часто включают сбор и анализ журналов из множества различных источников. Формат системного журнала доказал свою эффективность при консолидации журналов, поскольку существует множество инструментов с открытым исходным кодом и собственных средств для составления отчетов и анализа этих журналов. Существуют утилиты для преобразования журнала событий Windows и других форматов журналов в системный журнал.
Поставщики управляемых услуг безопасности пытаются применять аналитические методы и алгоритмы искусственного интеллекта для обнаружения закономерностей и оповещения клиентов о проблемах. [18]
Протокол системного журнала определяется документами Request for Comments (RFC), опубликованными Инженерной группой Интернета ( Интернет-стандарты ). Ниже приводится список RFC, определяющих протокол системного журнала: [19]