Syslog日志格式有哪些常见类型

syslog日志的常见格式类型

一 标准协议格式

• rfc3164（传统bsd格式）：由三部分组成——header message。pri为优先级，计算为facility×8 + severity；header包含timestamp（如：jul 10 12:00:00）与hostname；message通常由tag[pid]: content构成。典型示例：<15>jul 10 12:00:00 192.168.1.1 sysloggen message。该格式简单、兼容性好，但字段较少、时区与时戳精度支持有限。

• rfc5424（现代标准）：在rfc3164基础上规范化与扩展，结构为**version timestamp hostname app-name procid msgid [structured-data] message**。新增并规范了version（固定为1）、iso8601时间戳（可含毫秒与utc偏移，如：2003-10-11t22:14:15.003z）、hostname、app-name、procid、msgid以及可选的structured-data（以[sd-id k=v]形式携带结构化信息）；message可含utf-8 bom。示例：<34>1 2003-10-11t22:14:15.003z mymachine.example.com su - id47 - bom’su root’ failed…。该格式更适合机器解析与跨平台统一。

二 厂商与扩展格式

• cef（common event format，arcsight）：键值对式的扩展格式，典型以cef:0开头，包含devicevendor、deviceproduct、deviceversion、signatureid、name、severity等核心字段，并支持src、dst、duser、msg等扩展，便于安全信息与事件管理（siem）系统归一化与关联分析。

• welf（webtrends extended log format）：面向web/安全设备的扩展格式，强调携带更多维度字段（如源/目的、用户、事件类别等），以增强可观测性与检索能力，常用于对接安全信息与日志分析平台。

三 结构化与传输相关说明

• 结构化数据（rfc5424 structured-data）：以**[sd-id param=“value”…]形式在日志中嵌入机器可读的名值对**，便于精细检索、告警与自动化处理；当无结构化数据时以**“-”**占位。

• 内容编码与传输习惯：rfc5424的message建议使用utf-8，常以bom（byte order mark）标识；syslog常用udp 514端口进行传输，便于跨主机集中采集（也可使用tcp/relp等以提高可靠性）。

四 常见格式对比