Канал доставки логов — частая точка атаки. Шифрование и проверка подлинности защищают от перехвата, подмены и несанкционированного чтения. UDP — без гарантий и шифрования; подмена и перехват тривиальны. TCP — доставка в пределах соединения; при разрыве — буферизация на клиенте....
Централизованный сбор логов повышает наблюдаемость и упрощает расследование. Ключевые вопросы — отказоустойчивость, масштабирование и контроль задержек. Прямая отправка на коллектор — просто, но точка отказа одна. Ретранслятор(ы) у кластеров/ЦОД — буферизация, нормализация, HA....
Логи растут быстро. Без ротации, сжатия и политики retention диски переполняются, сервисы падают, а расследование инцидентов становится лотереей. rotate N — сколько архивов хранить. size SIZE / daily/weekly/monthly — триггер ротации. compress + delaycompress — когда сжимать....
Журналирование событий в Linux
Syslog — стандарт де-факто для журналирования событий в Unix-подобных системах. Он унифицирует формат сообщений, уровни важности и пути доставки — от локального файла до централизованного коллектора. Facility (источник): kern , user , mail , daemon , auth , syslog , lpr , news ,...
Журналирование событий в Linux
RFC 5424 определяет структурированный формат syslog-сообщения с явными полями и поддержкой структурированных данных. Это упрощает парсинг, фильтрацию и маршрутизацию. VERSION TIMESTAMP HOSTNAME APP-NAME PROCID MSGID [STRUCTURED-DATA] MSG PRI: VERSION: обычно 1 TIMESTAMP: ISO...
Журналирование событий в Linux
Доставка журналов от источников к коллекторам — критичный участок. Выбор протокола и настройка очередей определяют, теряете ли вы события при всплесках и сбоях сети. UDP : минимальные накладные расходы, но нет гарантий доставки. Подходит для низковажных метрик и изолированных...