Auf Log-Dateien lauschen

[Marathoni83]

Hallo zusammen,
gibt es mittels eines Tools eine Möglichkeit auf Log-Dateien zu "lauschen".
Ist im Log z.B. seit einigen Minuten kein Eintrag mehr vom System hinzugefügt worden,
würde eine Warnung an eine hinterlegte Mailadresse gesendet werden.

Gruß
Marathoni83

 

[Gimpel]

Logsurfer+ ist zu sowas gut zu gebrauchen.

http://www.google.com/search?hl=en&q=logsurfer&btnG=Search
Die HP davon reagiert derzeit nicht wirklich flott. Aber über den google cache kommt man an die Downloads.

EDIT: uwow.. das sieht noch besser aus: http://www.estpak.ee/~risto/sec/

 

[Anonymous]

Ist im Log z.B. seit einigen Minuten kein Eintrag mehr vom System hinzugefügt worden,
würde eine Warnung an eine hinterlegte Mailadresse gesendet werden.

Ups, das ist ja ein bisschen als wenn der Kellner seinen Gästen die Rechnung anhand der Anzahl der Toilettenbesuche erstellt.

Normalfall ist immer, man versucht Fehler und unnötige Meldungen zu vermeiden, anstatt die Gesundheit seines Systems an dem auftreten der regelmäßigen Fehlermeldungen zu messen.
Was willst du den genau damit überwachen oder auswerten?

Aber mal im Erst, so ein Verfahren wird wahrscheinlich sehr fehleranfällig obendrein muss es noch speziell auf die Überwachung eines Dienst oder einer Datei zugeschnitten werden und dürfte wohl recht kompliziert sein.

Überlege nur mal:
das setzt vorraus, das regelmäßig Datein in die Logdatei geschrieben werden,
werden diese geschrieben, dann wachsen die Logdateien an,
also muss zB logrotate eingesetzt werden damit sie nicht das System sprengen.
Wieviele verschiedene Möglichkeiten kennt noch mal gleich Logrotate mit so einer Datei umzugehen :idea:

* Angenommen du willst die /var/log/messages nach dem regelmäßigen Auftreten von Timestamps überwachen, damit du eine Mail bekommst wenn der Rechner ausfällt. Panict der Rechner, wer soll dir denn dann die Mail zusenden ? Hat jemand dagegen nur den Systemlog oder Logrotate umkonfiguriert oder angehalten oder oder oder, dann bekommst du Mails soviel wie du gar nicht lesen kannst, aber dem System fehlt gar nichts. Hat dein Rechner massive Problem und müllt die Logs mit Fehlern zu, ist nach dieser Überwachungsstrategie alles in Butter. :?: :?: :?:

robi

 

[Gimpel]

Ich glaube Marathoni83 hat da nur ein denkbar schlechtes Beispiel gewählt.

Event-Korrelation für logfiles ist auf produktiven Umgebungen essentiell, pauschal gesagt.

 

[regexer]

Wenn es wirklich nur um einen beliebigen Eintrag geht, würde da nicht auch der Zeitstempel einer Datei als Kriterium funktionieren? Diesen periodisch auslesen, und wenn er zu alt wird --> mailx