Формат сообщений Syslog

Краткое описание стандартных форматов сообщений syslog.

Table of Contents

Форматы Syslog

В настоящее время существует два стандартных формата сообщений syslog:

BSD-syslog или унаследованные сообщения syslog
IETF-syslog сообщения

Формат SD-syslog (RFC 3164)

Общий размер сообщения не может быть больше 1024 байт.

Сообщение BSD-syslog состоит из следующих частей:

PRI - представляет Facility и Severity сообщения. Это вычисляемое значение: Facility * 8 + Severity
HEADER - содержит метку времени и имя хоста (без имени домена) или IP-адрес устройства.
MSG - содержит имя программы или процесса, сгенерировавшего сообщение, и текст самого сообщения.

Пример сообщения BSD-syslog:

<133>Aug 11 14:09:07 webserver syslogd: restart

1	<133>Aug 11 14:09:07 webserver syslogd: restart

Формат IETF-syslog (RFC 5424)

Сообщение IETF-syslog состоит из следующих трех частей:

[Заголовок] [Структурированные данные] [Сообщение]

1	[Заголовок] [Структурированные данные] [Сообщение]

Заголовок

PRI - представляет Facility и Severity сообщения. Это вычисляемое значение: Facility * 8 + Severity
VERSION - номер версии стандарта протокола syslog. В настоящее время это значение может быть только 1.
ISOTIMESTAMP - Время создания сообщения в формате ISO 8601 (yyyy-mm-ddThh:mm:ss+-ZONE).
HOSTNAME - Устройство, которое первоначально отправило сообщение.
APPLICATION - Устройство или приложение, которое сгенерировало сообщение.
PID - Имя процесса или идентификатор процесса приложения, отправившего сообщение.
MESSAGEID - Идентификационный номер сообщения.

Структурированные данные

Часть сообщения может содержать мета-информацию о сообщении syslog или специфическую для приложения информацию, такую как счетчики трафика или IP-адреса. Структурированные данные состоят из блоков данных, заключенных в скобки ([]). Каждый блок включает в себя идентификатор блока и одну или несколько пар имя=значение.

Пример:

[exampleSDID@0 iut="3" eventSource="Application" eventID="1011"][examplePriority@0 class="high"]

1	[exampleSDID@0 iut="3" eventSource="Application" eventID="1011"][examplePriority@0 class="high"]

Сообщение

Часть Сообщение (MSG) содержит текст самого сообщения. Набор символов, используемый в сообщении должен бытьбыть UNICODE, закодированный с помощью UTF-8. Если приложение syslog кодирует MSG в UTF-8, строка должна начинаться с маски порядка байтов Юникода (BOM).

Пример сообщения IETF-syslog:

<34>1 2003-10-11T22:14:15.003Z machine application 1234 ID47 [example@0 class="high"] BOMmyapplication is started

1	<34>1 2003-10-11T22:14:15.003Z machine application 1234 ID47 [example@0 class="high"] BOMmyapplication is started

Примечания: APPLICATION, PID, MESSAGEID и Структурированные данные могут быть NULL, что представлено символом тире "-". Часть сообщения может быть абсолютно пустой (например, отправляется только Структурированные данные):

<34>1 2003-10-11T22:14:15.003Z machine application - - - BOMmyapplication started

1	<34>1 2003-10-11T22:14:15.003Z machine application - - - BOMmyapplication started