Análisis de los ficheros de logs(Parte III)

Como ya comentamos en la primera parte de esta serie de artículos, cada programa genera sus propios ficheros de registro sin embargo son muchos los programas que utilizan syslog y por eso lo analizaremos con más detalle en este artículo.

Syslog es un sistema de registros estándar que se utiliza en muchos programas de Linux, pudiendo registrar información basándose en el origen o en el nivel de severidad.

La función basada en el origen del mensaje es únicamente la de tener los programas clasificados en grupos a la hora de generar información de registro, mientras que los mensajes basados en nivel de severidad los programas generan cada entrada en el registro con un cierto nivel, y según la configuración que hayamos puesto en el fichero de configuración de syslogd el demonio puede aceptarla o rechazarla.

En general, lo que hace es enviar al dispositivo /dev/log las salidas de los programas, donde son recogidas por syslog y añadidas a un fichero de registro.
Dentro de los ficheros de registro podemos encontrar syslogd y syslog-ng, sobre el que hablaremos en el próximo artículo.

Syslogd es el demonio registrador instalado de forma predeterminada en los sistemas UNIX, y puede ser configurado mediante el fichero /etc/syslog.conf que nos permite especificar dónde enviar los mensajes dependiendo si la información está basada en el origen o en la severidad.

El fichero /etc/syslog.conf controla cada uno de los mensajes que se registran mediante syslogd, y el formato de cada línea de este fichero es el siguiente donde los campos están separados por tabulaciones:

origen.nivel_de_registro_ destino_registro

Por ejemplo, la siguiente línea sería un línea válida para el fichero de configuración, donde syslogd escribiría todos los registros que hayan hecho uso de la etiqueta daemon y que tengan el nivel de severidad notice o superior en el fichero /var/log/daemon.log. Pero lo mejor es consultar la página del manual de syslog.conf para ver todas las opciones que se pueden utilizar para personalizar nuestro fichero de registro.

Syslog aplica el siguiente formato a los mensajes que va recibiendo:

Mon Day Time hostname processname[pid]: log_record

De esta forma un fragmento del fichero de registro podría tener el siguiente aspecto:

Jul 21 00:00:12 websecurity named[1827]: Cleaned cacheo f 14 RRsets

Jul 21 00:10:12 websecurity named[1840]: Lame Server on 'www.websecurity.es'

En el artículo de la semana que viene veremos syslog-ng una variante de syslogd.

Mediante este artículo que está compuesto por ocho partes en las cuales aprenderás donde como analizar un fichero de logs, así como a usar varias herramientas que te facilitarán el trabajo de análisis de logs, las partes que forman este artículo son:

• Análisis de los ficheros de logs(Parte I)
• Análisis de los ficheros de logs(Parte II)
• Análisis de los ficheros de logs(Parte III)
• Análisis de los ficheros de logs(Parte IV)
• Análisis de los ficheros de logs(Parte V)
• Análisis de los ficheros de logs(Parte VI)
• Análisis de los ficheros de logs(Parte VII)
• Análisis de los ficheros de logs(Parte VIII)