중앙집중식 syslog 설정 및 관제

Dec 21 20:10:17 myhostname systemd[1]: Starting system activity accounting tool...

# 전송할 로그메시지의 포맷용 템플릿
# <pri>날짜 호스트명 syslogtag 로그메시지 형태로 정의
template(name="SHRFWDFMT" type="list") {
    constant(value="<")
    property(name="pri")
    constant(value=">")
    property(name="timestamp" dateFormat="rfc3339")
    constant(value=" ")
    property(name="hostname")
    constant(value=" ")
    property(name="syslogtag" position.from="1" position.to="32")
    property(name="msg" spifno1stsp="on" )
    property(name="msg")
}
 
# 룰셋 정의
Ruleset(name="sendToLogServer") {
    action(
        type     = "omfwd"
        template = "SHRFWDFMT"
        protocol = "tcp"
        port     = "514"
        target   = "10.10.1.514"
    )
    action(
        type     = "omfwd"
        template = "SHRFWDFMT"
        protocol = "tcp"
        port     = "514"
        target   = "10.10.2.514"
        action.execOnlyWhenPreviousIsSuspended = "on"
        queue.dequeuebatchsize                 = "1"
    )
}

#
lookup_table(name="exclude_level" file="/etc/rsyslog.d/01-exclude_level.json" reloadOnHUP="on")
 
set $!exclude_level = lookup("exclude_level", $syslogseverity-text);
 
# 위에서 정의한 결과가 none 일 경우만 sendToLogServer 룰셋을 호출
if ($!exclude_level == "none") then {
    call sendToLogServer
}

10.10.10.10 daemon info <30>2023-12-14T16:50:13.301882+09:00 test-server1 systemd[1]: Starting system activity accounting tool...

# 로그포맷을 정의
# 기존 rawmsg 내용앞에 아이피 syslogfacility-text , syslogsrverity-text 를 추가한 내용
template(
    name   = "loggingFormat"
    type   = "string"
    string = "%FROMHOST-IP% %SYSLOGFACILITY-TEXT% %SYSLOGSEVERITY-TEXT% %rawmsg%\n"
)
 
# 유입된 로그를 어떤 경로 어떤 파일명으로 저장할지등을 정의하기 위해 만든 템플릿.
# /DATA/SYSLOG/{호스트명}/{년}/{월}/{일}/{logfile}.log 명으로 저장.
template(name="serverLogPath" type="list") {
    constant(value="/DATA/SYSLOG")
    constant(value="/")
    property(name="$.loghost")
    constant(value="/")
    property(name="timegenerated" dateFormat="year")
    constant(value="/")
    property(name="timegenerated" dateFormat="month")
    constant(value="/")
    property(name="timegenerated" dateFormat="day")
    constant(value="/")
    property(name="$.logfile" )
    constant(value=".")
    property(name="timegenerated" dateFormat="year")
    constant(value="-")
    property(name="timegenerated" dateFormat="month")
    constant(value="-")
    property(name="timegenerated" dateFormat="day")
    constant(value=".log")
}
 
# 로그유입시 이 룰셋이 동작
Ruleset(name="listenLogServer") {

    set $.loghost = $hostname;
    set $.logfile = "";
 
    if ( prifilt("*.info;mail.none;authpriv.none;cron.none") ) then {
        set $.logfile = "messages";
        action(type="omfile" dynaFile="serverLogPath" template="loggingFormat")
    }
    if ( prifilt("authpriv.*") ) then {
        set $.logfile = "secure";
        action(type="omfile" dynaFile="serverLogPath" template="loggingFormat")
    }
    if ( prifilt("mail.*") ) then {
        set $.logfile = "maillog";
        action(type="omfile" dynaFile="serverLogPath" template="loggingFormat")
        stop
    }
    if ( prifilt("cron.*") ) then {
        set $.logfile = "cron";
        action(type="omfile" dynaFile="serverLogPath" template="loggingFormat")
    }
    if ( prifilt("uucp,news.crit") ) then {
        set $.logfile = "spooler";
        action(type="omfile" dynaFile="serverLogPath" template="loggingFormat")
    }
    if ( prifilt("local7.*") ) then {
        set $.logfile = "boot";
        action(type="omfile" dynaFile="serverLogPath" template="loggingFormat")
    }
 
    # 모든 작업이 완료됐으므로 추가 작업은 하지 않도록 처리루틴을 중단시킨다
    stop
}
 
# rsyslog input 모듈중 udp 모듈을 사용하여 LISTEN 한다.
# 해당 input 으로 유입된 데이터에 대해 listenLogServer 룰셋으로 처리
module(load="imudp")
input(type="imudp" Address="0.0.0.0" port=["514"] Ruleset="listenLogServer")

filter {
    grok {
        match => {
            "message" => [
"^%{IPORHOST:[s][hostaddr]} %{WORD:[s][facility]} %{WORD:[s][severity]} \<%{INT:[s][priority]}\>%{TIMESTAMP_ISO8601:[tmp][hosttime]} %{NOTSPACE:[s][hostname]} %{NOTSPACE:[s][syslogtag]} %{GREEDYDATA:[s][description]}"
            ]
        }
    }

    if [tmp][hosttime] {
        date {
            match => [
                "[tmp][hosttime]",
                "ISO8601"
            ]
            target => "@timestamp"
        }
    }
}