如何监控Syslog异常信息

监控 Syslog 异常信息通常可以从采集、过滤、告警、可视化、自动化几个层面来做。下面按“从简单到专业”的方式说明，适用于 Linux 服务器环境。

一、基础方式（单机快速排查）

1. 实时查看 Syslog

tail -f /var/log/syslog
# 或
tail -f /var/log/messages

2. 过滤异常关键字

grep -iE "error|fail|panic|denied|timeout|unable" /var/log/syslog

常见异常关键字：

• error / err
• failed / failure
• warning（可监控高频 warning）
• segfault
• kernel panic
• authentication failure
• connection refused

二、使用系统工具增强监控

1. logwatch（每日汇总）

apt install logwatch
logwatch --detail High --service All --range Today

✅ 适合：

• 每天定时邮件汇总
• 初步发现异常趋势

2. systemd journal（现代系统）

journalctl -p err -b
journalctl -p warning --since "1 hour ago"

参数说明：

• -p err：只显示 error 及以上
• -b：本次启动
• --since / --until：时间范围

三、集中式监控（推荐生产环境）

方案 1：rsyslog + 远程收集

# /etc/rsyslog.conf
*.* @@log-server:514

集中到日志服务器后统一分析。

方案 2：ELK / EFK（企业级）

架构：

Syslog → Filebeat → Logstash → Elasticsearch → Kibana

能力：

• 异常规则过滤
• 可视化仪表盘
• 自动告警

示例过滤规则（Logstash）：

if [message] =~ /(?i)error|fail|panic/ {
  mutate { add_tag => ["syslog_error"] }
}

方案 3：Prometheus + Loki（云原生）

Syslog → Promtail → Loki → Grafana

Grafana 中可写日志告警：

count_over_time({job="syslog"} |= "error" [5m]) > 10

四、异常告警策略（关键）

1. 按级别告警

• error / crit / alert / emerg：立即告警
• warning：统计后告警（防误报）

2. 按频率告警

• 5 分钟内 error > N 次
• 同一错误重复出现

3. 按来源告警

• 某个主机
• 某个服务（sshd / nginx / kern）

五、安全相关异常重点监控

尤其重要：

• authentication failure
• Failed password
• POSSIBLE BREAK-IN ATTEMPT
• sudo: ... command not allowed

可配合：

• fail2ban
• SIEM（如 Wazuh / Splunk）

六、自动化示例（简单脚本）

#!/bin/bash
COUNT=$(grep -c "error" /var/log/syslog)
if [ "$COUNT" -gt 20 ]; then
  echo "Syslog error spike" | mail -s "Syslog Alert" admin@xx.com
fi

七、总结建议

如果你愿意，我可以：

• 帮你写 rsyslog 配置
• 给你一个 Grafana 告警规则
• 针对 某类服务（如 SSH / Nginx） 定制监控方案