[SAGE-MUC] Old Stuff: Logfile Parser???

[Nils Magnus]

Am Montag, 6. Oktober 2008 09:45:24 schrieb Urs Schürer - sitb -:

> ja, ja, ich weiß es ist noch mitten in der Nacht ... und ich bin gerade
> auf der Suche nach einer praxiserprobten Lösung zum Parsen von Logfiles um
> dann entsprechend ggf. automatisch Tickets zu generieren.

Naja, da gibt's verschiedene Lösungen, die mir einfallen:

1/ Am flexibelsten finde ich immer noch Perl, einfach ein kleines Basis-Skript 
hingeworfen und dann sind nur noch kleine Anpassungen zu machen:

#!/usr/bin/perl

while (<>) {
	next if (*** irgenwas, das wegkann ***);
	chomp;
	($felda, $feldb, $feldc, ...) = spilt;
	*** mit $felda, $feldb, $feldc arbeiten ***
}

2/ Das meiste davon kann man auch als awk realisieren, manchmal finde ich die 
zur Verfügung stehenden Funktionen nicht so reichhaltig wie in Perl, aber das 
ist wohl Geschmackssache.

3/ Extrem flexibel ist logsurfer, das Wolfgang Ley mal vor Dekaden am DFN-CERT 
entworfen hat. Leider ist es auch äußerst komplex zu bedienen. Dafür kann man 
dynamisch so etwas wie "Kontexte" eröffnen, die sich auch auf Dinge beziehen 
können, die schon weiter in der Vergangenheit liegen. Entdeckt man etwa in 
Zeile 23456 eine Rule-Verletzung der Firewall von einer IP aus, kann man 
damit auch schnell alle sonstigen Aktivitäten dieser IP heraussuchen, selbst 
wenn die in Zeile 1234 lagen.

4/ es gibt da wohl noch einige andere, die ich nicht so genau kenne, die mir 
aber immer wieder über den Weg laufen:  SWATCH kann nicht so viel wie 
logsurfer, ist aber wohl einfache rzu konfigurieren; logwatch hat wohl schon 
viele Analysen eingebaut, ist aber nicht ganz so flexibel.

Grüße,

-- 
Nils Magnus, Redakteur
Linux New Media AG, Putzbrunner Straße 71, 81739 München, Germany
Tel: +49 89 99 34 1127, Fax: +49 89 99 34 1199
nmagnus at linuxnewmedia.de - http://www.linuxnewmedia.de/
----------------------------------------------------------------
Linux New Media, the Pulse of Open Source: Lawrence, KS - Málaga
Manchester - München - São Paulo - Timişoara - Warszawa
----------------------------------------------------------------
Sitz der Gesellschaft: Putzbrunner Straße 71, 81739 München
Amtsgericht München: HRB 129161
Vorstand: Rosemarie Schuster, Hermann Plank
Aufsichtsratsvorsitzender: Rudolf Strobl