Как переместить логи журналов Linux в другую папку?

Question

[JohnEV]

Хочется собрать на расшаренной папке сервера журналы логов с Linux систем для дальнейшей обработки SIEM системами

Comments

[pfg21]

записать в fstab монтирование /var/log на свой носитель.

[mayton2019]

Честно я никогда не слышал чтоб была системная переменная которая отвечает за /var/log
Мне кажется что этот путь сложился исторически. И многий софт имеет хард-кодом указанный
destination. Поэтому перемещение будет связано с конфигурацией каждой единицы софта.
Или можно как-то rsync-ом копировать.

Про SIEM я не слышал. Интересно.

[Руслан Федосеев]

mayton2019, есть такие интересные вещи, как симлинки, конфиг syslog и так далее и тому подобное...
вообще для того, чтобы расшарить папку - не надо ничего никуда перемещать.
Раздайте /var/log с сервера по nfs например в ro. Или по cifs... и читайте, не перечитайте....

[Adamos]

mayton2019, необязательно хард-кодом, но в настройках серверов на nginx, например, может быть прописан этот путь. Без всяких системных переменных:

error_log /var/log/nginx/laravel_error.log;
    access_log /var/log/nginx/laravel_access.log;

Замучишься искать все места, где он прописан. Проще примонтировать или положить симлинк.

[сергей кузьмин]

mayton2019, https://logz.io/blog/what-is-siem/

[mayton2019]

Adamos, я не против симлинка. Попробуйте. Только внешний сетевой диск о котором пишет автор должен быть доступен 100% иначе какой смысл в логах. Для меня лог ценен всегда тем что он есть. И ситуация когда лог не мог быть записан - критична. Не записан лог - мы не знаем что было с софтом. Именно поэтому я выбираю локальный диск.

[shurshur]

mayton2019, добавлю, что логи в системе нужно писать и до того, как это внешнее хранилище будет смонтировано. Не говоря уже о disaster-сценарии, когда оно отвалится кратковременно или надолго.

[Adamos]

mayton2019, соглашусь.
Хотя бывали у меня и системы, где лог выносился на tmpfs :)

[mayton2019]

shurshur, у Log4j2 есть техника failover appender. Можно попробовать.

https://logging.apache.org/log4j/2.x/manual/append...

Но я-бы не брал. Я предпочитаю простые решения. Потому-что в час Х когда всё "упало все пропало" очень трудно искать концы происходящего. И не всегда админы и девопсы понимают где что лежит и как искать. Зачастую такие сложные знания просто забываются из-за сложности. Поэтому чем проще - тем лучше.

[shurshur]

mayton2019, я даже больше скажу, нам тут приходится с нашими "девопсами" периодически воевать, чтобы они не лезли все логи сливать куда-нить по сети в какую-нить неведомую хреновину. Наша позиция - логи должны писаться на локальный диск в виде файлов. Чтоб никакие потери сети или глюки хреновины не повлияли ни на строчку лога.

[hint000]

shurshur,

логи должны писаться на локальный диск

Справедливо. Но что-то не так с девопсами, если они не понимают, что можно и то и другое одновременно. И на локальный диск, и в сеть.