マクロを生かしたrsyslogの活用例：新世代syslogデーモン徹底活用（最終回）（1/2 ページ）

$ModLoad ommail                           #ommailモジュールの組み込み
$ActionMailSMTPServer mail.example.jp     #メールサーバの指定
#$ActionMailSMTPPort 587                  #SMTPのポート番号（デフォルトは25:注1）
$ActionMailFrom from@example.jp           #送信者アドレス
$ActionMailTo to@example.jp               #送付先アドレス
 
#メール題名テンプレートの定義
$template mail_subject,"Log Report on %hostname%
 
#メール内容テンプレートの定義
$template mail_body,"RSYSLOG Alert\r\nmsg='%msg%
 
#メール題名の設定
$ActionMailSubject mail_subject
 
#ログに「Failed password」を含むものをメール送信。
#その際mail_bodyテンプレートを使用
if $msg contains 'Failed password' then :ommail:;mail_body

From:      from@example.jp
To:        to@example.jp
Subject:   Log Report on サーバ△△
 
RSYSLOG Alert
msg=' Failed password for ×× from ○○ port 40067 ssh2'

# yum install mysql mysql-server

# /etc/init.d/mysqld start

データベース： Syslog
テーブル：     SystemEvents、SystemEventsProperties
ユーザ名：     rsyslog
パスワード：   password

# mysql -u root -p	←MySQLのクエリモードを開始します。
 
※「mysql>」プロンプトに続けて、次のようなSQLクエリを入力します
 
（データベース「Syslog」の作成）
CREATE Database Syslog;
 
（テーブル「SystemEvents」の作成）
CREATE TABLE SystemEvents(
        ID int unsigned not null auto_increment primary key,
        CustomerID bigint,
        ReceivedAt datetime NULL,
        DeviceReportedTime datetime NULL,
        Facility smallint NULL,
        Priority smallint NULL,
        FromHost varchar(60) NULL,
        Message text,
        NTSeverity int NULL,
        Importance int NULL,
        EventSource varchar(60),
        EventUser varchar(60) NULL,
        EventCategory int NULL,
        EventID int NULL,
        EventBinaryData text NULL,
        MaxAvailable int NULL,
        CurrUsage int NULL,
        MinUsage int NULL,
        MaxUsage int NULL,
        InfoUnitID int NULL ,
        SysLogTag varchar(60),
        EventLogType varchar(60),
        GenericFileName VarChar(60),
        SystemID int NULL
);
 
（テーブル「SystemEventsProperties」の作成）
CREATE TABLE SystemEventsProperties(
        ID int unsigned not null auto_increment primary key,
        SystemEventID int NULL ,
        ParamName varchar(255) NULL ,
        ParamValue text NULL
);
 
（権限の設定　ユーザー：rsyslog、パスワード：password）
GRANT ALL PRIVILEGES ON Syslog.* TO rsyslog@localhost IDENTIFIED BY 'password';
（※rsyslogとMySQLが同一サーバで稼働していない場合、localhostをrsyslogサーバのIPアドレスに置き換えます）

ModLoad ommysql
*.*                :ommysql:localhost,Syslog,rsyslog,password
（:ommysql:MySQLサーバのアドレス,データベース名,ユーザー名,パスワード）
 
#上の行と下の行は同じ設定内容（「:ommysql:」を「>」で置き換えています）
*.*                >localhost,Syslog,rsyslog,password

$ mysql -u rsyslog -p Syslog
mysql> PAGER less -S（ページャーで表示を抑制します）
mysql> SELECT * FROM SystemEvents LIMIT 0,5（先頭から5件だけ表示）
+-----+------------+---------------------+---------------------+-
| ID  | CustomerID | ReceivedAt          | DeviceReportedTime  | 
+-----+------------+---------------------+---------------------+-
| 331 | NULL       | 2008-11-10 02:38:01 | 2008-11-10 02:38:01 |
| 332 | NULL       | 2008-11-10 02:38:01 | 2008-11-10 02:38:01 |
| 333 | NULL       | 2008-11-10 02:38:18 | 2008-11-10 02:38:18 |        
| 334 | NULL       | 2008-11-10 02:38:18 | 2008-11-10 02:38:18 |
| 390 | NULL       | 2008-11-10 02:49:58 | 2008-11-10 02:19:55 |        
+-----+------------+---------------------+---------------------+-