Системные логгеры. Программы ведения системного журнала. (Обсуждение с опросом и кратким описанием.)

[Mellon]

Дополнительные возможности ведения системных журналов могут понадобиться для выявления предупреждений и ошибок в системе, свидетельствующих о текущей атаке, или даже успешном компрометировании системы.
Это так же крайне необходимо, для того, чтобы ваши журналы (лог-файлы) были легко читаемы и управляемы.
Gentoo предлагает на выбор три программы ведения системных логов.

Syslogd.
Наиболее популярный логгер для Linux, и Unix систем в целом. Он обладает некоторыми способнотями ротации логов. Но применение предназначенного для этой цели logrotate, - намного предпочтительней.
Также Syslogd имеет возможность вести логи на одной или нескольких удалённых машинах, таким образом предотвращая стирание логов атакующим. Да поможет вам man syslogd.

Metalog.
Детище Frank Dennis, к сожалению не способно вести удалённые логи, как это делает syslogd. Но зато metalog имеет преимущества в продуктивности и гибкости настроек. Он может фильтровать логи по названиям программ, важности, типам (facility) (наподобие syslogd). А также поддерживает регулярные выражения, с помощью которых вы можете запускать сторониие скрипты при встрече специфического шаблона. Это весьма недурственно для реагирования на определённые события. Также metalog имеет встроенную ротацию логов, что безусловно будет удобно новичкам.
Есть однако минус. Metalog нельзя прямо указать определённый файл для ведения лога. Вследствии чего для выведения лога на TTY приходится периодически запускать дочерний(e) процесс(ы). Что негативно отражается на использовании системных ресурсов, а также ведёт кнекоторому замусориванию основного лог-файла (можно отфильтровать конечно, в общем мелочь, а не приятно).

Syslog-ng.
По некоторым возможностям, схож как с metalog, так и с syslog, с незначительными отличиями.
Syslog-ng может фильтровать сообщения по важности(уровню), по содержанию (как metalog). Предоставляет ведение удялённых логов, подобно syslogd, handle logs from syslogd (even streams from Solaris). Может писать прямо на TTY, выполнять сторонние программы, а также играть роль лог-сервера. По существу, syslog-ng сочетает достоинства обоих логгеров в комбинации с расширенными возмжностями ностройки.
Syslog-ng очень легко настраивать, но так же чрезвычайно легко упустить что-либо важное при настройке конфигурационного файла. Будьте внимательны!
В будущем, авторы syslog-ng обещают реализвать некоторые дополнительные возможности, такие как:
шифрование, авторизацию, компрессию и MAC - Мандатный Контроль Доступа. Такие свойства предоставят превосходное ведение логов по сети, без возможности следить за логами атакующим.
Да, и кстати. Syslog-ng имеет ещё одно нехилое преимущество: он не нуждается в запуске от root!!!

Статья полностью, с примерами конфигурационных файлов (eng)

[serg_sk]

Добавил опрос, по просьбам трудящихся.

[ArtSh]

Чесс слово, выбрал тот который в хэндбуке написан

[Nightwolf_ng]

Чесс слово, выбрал тот который в хэндбуке написан

Вот вот... Абсолютно такаяже ситуация...

[kernel_mode]

Чесс слово, выбрал тот который в хэндбуке написан

Вот вот... Абсолютно такаяже ситуация...

Я тоже. (syslog-ng)

[cheer]

Только что обнаружил, что никакого , но это потому что настраивать ничего не пришлось..

[Warderer]

syslog-ng. Показался наиболее удобным для организации лог-сервера для восьми машин. В данный момент всё аккуратненько сортируется, часть через пайпы идёт в БД, проходя обработку.

[serzh-z]

У syslog-ng есть неоспоримый плюс - он умеет выводить сообщения на виртуальную консоль, скажем на /dev/tty12.

[xorader]

Вначале пользовался metalog (старый handbook о нём говорил).... Вообщем, syslog-ng for4ever!

[Pirren]

а как выключить syslogd? Он просто сообщения мне в терминал выдает о слабом кулере, а это мне мешает очень..

[maximuswork]

syslog-ng с 2003 года

[Sandle_X]

Syslog-ng, так как в нем практически совмещены все предыдущие...есть фильтры и т.п.

[Poor Fred]

Syslog-ng, т.к. был упомянут в хендбуке когда я начинал гентушничать. Особой мотивации сменить не было.

[solshark]

Syslog-ng, т.к. был упомянут в хендбуке когда я начинал гентушничать. Особой мотивации сменить не было.

metalog, из архидревнего хендбука. Претензий нет.

[Zm1y]

Syslog-ng, т.к. был упомянут в хендбуке когда я начинал гентушничать. Особой мотивации сменить не было.

metalog, из архидревнего хендбука. Претензий нет.

Начинал с металогом... Ибо так глас бохха в виде Хэндбука гласил (в середине года так примерно 2003-2004) потом когда пришлось собирать логи по сети - перелез на syslog-ng