บรรจวบ เข้าสู่ระบบ
Score:0
Allan avatar Server

เหตุใดบางบริษัทเช่น cisco จึงใช้รูปแบบการส่งข้อความ syslog ที่แตกต่างกันแทนที่จะเป็น rfc 3164 (BSD syslog) และ rfc 5424 (IETF syslog)

ธง pk
Allan

ตามความเข้าใจของฉัน รูปแบบ syslog ที่เป็นที่นิยมคือ:

  • RFC 3124 (บันทึกระบบ BSD):

    รูปแบบ: < ลำดับความสำคัญ > แอปพลิเคชันชื่อโฮสต์ประทับเวลา: ข้อความ

    ตัวอย่าง: <133>25 ก.พ. 14:09:07 น. เว็บเซิร์ฟเวอร์ syslogd: รีสตาร์ท

  • RFC 5424 (บันทึกระบบ IETF):

    รูปแบบ: < ลำดับความสำคัญ >Version ISOTIMESTAMP HOSTNAME APPLICATION PID MESSAGEID STRUCTURED-DATA MSG

    ตัวอย่าง: <34>1 2003-10-11T22:14:15.003Z mymachine.example.com su - ID47 - BOM'su root' ล้มเหลวสำหรับ lonvick บน /dev/pts/8

แต่ให้ดูรูปแบบบันทึกของบริษัทอื่น:

  • ซิสโก้:

    ตัวอย่าง: *18 ม.ค. 03:02:42: %LINEPROTO-5-UPDOWN: โปรโตคอล Line บนอินเทอร์เฟซ GigabitEthernet0/0 เปลี่ยนสถานะเป็นดาวน์

  • Fortinet (ที่นี่คุณจะเห็น syslog ในคู่ของคีย์-ค่า นี่เป็น syslog ด้วยหรือเปล่า)

    ตัวอย่าง: <190>วันที่=2015-03-30 เวลา=14:42:11 logid=0508020503 type=utm subtype=emailfilter eventtype=smtp level=information vd="root" sessionid=83879670 srcip=12.130.136.122 srcport=48137 dstip= x.x.x.x dstport=25 proto=6 service=SMTP profile="EF_Example" action=log-only from="[email protected]" to="[email protected]" sender="[email protected]" ผู้รับ ="[email protected]" sendbyte=15369 rcvdbyte=46 ทิศทาง=ข้อความขาออก ="บันทึกอีเมลทั่วไป" เรื่อง="Novos Treinamentos para Certificação Trend Micro" size="15360" ไฟล์แนบ=no

  1. นั่นหมายความว่ารูปแบบ syslog สามารถแก้ไขได้ตามความต้องการ แล้วซอฟต์แวร์ SIEM จะแยกวิเคราะห์บันทึกเหล่านี้ได้อย่างไร หากบริษัทต่างๆ ใช้รูปแบบ syslog ที่แตกต่างกัน
  2. การมี RFC จะมีประโยชน์อะไรหากบริษัทต่างๆ ปฏิบัติตามแนวปฏิบัติในการบันทึกข้อมูลที่แตกต่างกัน
  3. คำถามสุดท้ายของฉัน นี่เป็นรูปแบบ syslog หรือไม่
51
0 + 0
cn flag
Greg Askew
`ซอฟต์แวร์ SIEM จะแยกวิเคราะห์บันทึกเหล่านี้ได้อย่างไรหากบริษัทต่าง ๆ ใช้รูปแบบ syslog ที่แตกต่างกัน' เพราะมันง่าย Splunk สามารถแยกวิเคราะห์โครงสร้างข้อมูลจำนวนมาก ไม่จำเป็นต้องอยู่ในรูปแบบ Syslog
0
ตอบกลับ
Allan avatar
pk flag
Allan
@GregAskew ขอบคุณ คุณทำให้มันชัดเจน :)
0
ตอบกลับ
Score:1
avatar Server
ธง mx
mschuett

เป็นคำตอบสั้น ๆ เพราะ RFC ไม่เปลี่ยนฐานรหัสที่มีอยู่ซึ่งเขียนใน 15-25 ปี

รูปแบบ Syslog ทุกประเภทได้รับการพัฒนาและใช้งานตั้งแต่ช่วงต้นทศวรรษ 1980 (แนวคิด AFAIK เริ่มต้นใน sendmail และ syslog daemon ตัวแรกเป็นส่วนหนึ่งของ 4.3 บสย ในปี 2529) ด้วย Unix Wars และการสิ้นสุดของ BSD ทุกคนมีอิสระในการสร้างสิ่งที่พวกเขาต้องการ และมีแรงจูงใจเพียงเล็กน้อยที่จะสร้างมาตรฐานให้กับสิ่งใดสิ่งหนึ่ง มาตรฐานที่เลียนแบบจะเป็น "ทุกสิ่งที่ BSD syslogd สามารถประมวลผลได้" และแม้กระทั่งการใช้งานจำนวนมากก็เบี่ยงเบนไปจากสิ่งนั้นโดยเจตนา เช่น การเพิ่มคีย์=ค่าหรือการสนับสนุน TCP

อาร์เอฟซี 3124 เป็น RFC ที่ให้ข้อมูลตั้งแต่ปี 2544 มันไม่ใช่บรรทัดฐาน (ในแง่ของ "นี่คือ Syslog และอย่างอื่นไม่ใช่") แต่ใช้วิธีการ "ดูว่ามีอะไรอยู่ข้างนอกและอธิบายจุดร่วมเล็ก ๆ "

RFC 5424 เนื่องจากมาตรฐานที่เสนอมีแนวทางเชิงบรรทัดฐานนั้นแต่มันมาจากปี 2009 และถึงแม้ในเวลานั้นจะเป็น "แค่มาตรฐานทางเลือกอื่น" เพราะมัน (และยังคงเป็น) แทบจะเป็นไปไม่ได้เลยที่จะเปลี่ยนโค้ดที่มีอยู่และมีประโยชน์ทั้งหมดที่มีอยู่

0 + 0
mx flag
mschuett
ความคิดเห็นเชิงประชดประชันอย่างหนึ่ง: ในปี 2544 มีการเสนอมาตรฐาน [RFC 3195](https://datatracker.ietf.org/doc/html/rfc3195) ด้วย ได้รับการออกแบบบน XML และ BEEP ผู้ใช้จริงสัมผัสไม่ได้ว่า AFAIK ไม่มีใครใช้มันในการตั้งค่าเหมือนการผลิต
0
ตอบกลับ
ธงชาติไทย
Kulap
คำถามนี้เป็นภาษาอื่นๆ:

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา