はじめに
現在利用しているSyslogサーバーから別の製品への切り替えを検討する際、「現在行っているログ保存や転送、メール通知などの運用を実現できるか」は、確認しておきたいポイントです。
Syslogサーバーでは、ログを保存するだけでなく、
- 重要度によるフィルター
- 一定期間の保存
- 古いログのアーカイブ
- 特定機器のログ転送
- 条件に応じたメール通知
など、さまざまな運用が行われています。
こうしたログ管理を行う製品の一つに、Windows版Syslogサーバー「Syslog Watcher」があります。ログの受信・保存・閲覧に加え、アラートメールやSyslog転送などの機能を備えています。
この記事では、Syslog Watcherを例に、現在行っている運用を実現できるか確認できるよう、よくある運用ごとに設定例をご紹介します。
※ 基本的な操作手順、ネットワーク設定、サーバー起動、ログ受信確認、ログ閲覧などに ついては「Syslog Watcher 6 導入ガイド」をご参照ください。
よくある運用項目とSyslog Watcherの設定例
以下は、Syslogサーバーのよくある運用項目とSyslog Watcherの設定例の対応表です。
現在の運用（または想定する運用）が、Syslog Watcherで実現可能かどうかを確認できます。
| 現在の運用／想定する運用 | Syslog Watcher の設定例 |
| 重要度の低いログは保存していない | 重大度でフィルターして保存 |
| 一定期間ログを検索できるようにしている | 1年分のログを閲覧・検索可能な形で保存 |
| 古いログを別の場所に保管している | ログを1年間保存、検索対象は直近30日のみ |
| 特定機器のログを別サーバーへ送っている | 特定機器のログを転送 |
| 特定のログを受信したらメール通知している | 重要なログをメールで通知 |
| 条件を組み合わせてログを処理している | 復合条件 |
| ログをテキストファイルにも出力している | ファイル出力 |
設定例（1）重大度でフィルターして保存
Syslog Watcherでは、ログの重大度によるフィルタリングが可能です。
設定したレベルより重大度の低いメッセージは保存対象外として破棄されます。
また、任意の文字列でフィルタリングすることも可能です。
特定の文字列を含む場合のみファイル保存することや保存対象外として破棄させることができます。
設定場所：サーバー設定＞メッセージ受信処理＞受信フィルター
※ 受信制限があるエディションの場合は、保存対象外として破棄されたメッセージも受信メッセージとしてカウントされます。
上図のように設定すると、Notice, Information, Debugのログは保存対象外として破棄されます。
設定例（2）1年分のログを閲覧・検索可能な形で保存
Syslog Watcherでは、ストレージに保存する期間を設定することができます。
ログは保持期間を超過すると削除されます。
また、ストレージに保存している期間は閲覧/検索が可能です。
この設定では365日を超過したストレージファイルは破棄されます。
設定例（3）ログを1年間保存、検索対象は直近30日のみ
Syslog Watcherでは、アーカイブを「有効」にするとデフォルトで24時間毎にアーカイブが実施されます。アーカイブ先フォルダは、ネットワーク上の共有ストレージを指定することも可能です。
なお、アーカイブは設定した保持期間を経過すると削除されます。
※ テキストファイル出力型のアーカイブとクリーンアップを併せた機能です。
上図のように設定すると、30日間ストレージにログを保持します（30日超過後は自動で削除されます）。ストレージに保存されているログは、閲覧や検索をすることができます。
また、24時間毎にZipファイルに圧縮され、アーカイブされたログは365日間保存されます（365日超過後は自動で削除されます）。
アーカイブされたログは、Zipを解凍してストレージへコピーすることで閲覧・検索可能となります。
ローカルへのアーカイブ
ローカルの任意のフォルダをアーカイブ先に設定可能です。
＊ローカルディスクの空き容量が無くなるとログ受信・保存がエラーとなります。
ネットワークストレージへのアーカイブ
ネットワーク上の共有ストレージにある任意のフォルダをアーカイブ先に設定可能です。
＊共有ストレージ上のフォルダをアーカイブ先に指定することで、ローカルのディスク負担を軽減し、共有ストレージ上で長期間ログを保存できます。
設定例（4）特定機器のログを転送
他のSyslogサーバーやシステムへSyslogを転送可能です。
フィルターを設定することにより各種条件で絞り込んで該当のSyslogのみ転送が可能です。
設定場所：サーバー設定＞Syslogサーバーへ転送＞Syslog転送：（名前）
発信元欄の「…」をクリックし、展開されたウィンドウに表示された該当のグループ/発信元にチェックを入れて選択します。
該当の発信元グループ/発信元を選択します。
設定例（5）重要なログをメールで通知
Eメールアラートの送信が可能です。
アラートグループを追加し、宛先メールアドレスを設定します。
設定場所：サーバー設定＞Eメールアラート
＊予めSMTPプロファイルを設定しておいてください。
設定した重要度のログを受信したときに通知
条件とする重要度の上限・下限レベルを選択します。
任意の文字列を含むログを受信したときに通知
任意の文字列を含むログをフィルターできます。
設定場所：サーバ設定＞（該当項目）＞フィルター＞複合フィルター
その他の設定項目
フィルター条件
次の条件でログをフィルターすることができます。
| 条件 | 説明 |
| 重大度 | Emergency～Warningなど |
| 発信元 | IPアドレス、発信元グループ |
| 文字列 | 任意の文字列 |
| 複合条件 | 複数条件を組み合わせ |
複合条件
構文を入力することで複数条件を組み合わせてフィルターすることができます。
ここではフィルター例を2つご紹介します。
設定場所：サーバー設定＞（該当項目）＞フィルター＞複合フィルター
例①：アプリケーション名に「server」を含み、且つメッセージIDが404より大きい
例②：アプリケーション名が「server」又はアプリケーション名が「client」で始まり、
且つメッセージIDが404より大きい
このようなフィルターをログ転送・ファイル出力・メールアラートで利用できます。
複合フィルターの使用方法はSyslog Watcher 6 導入ガイドのP.38 「7.2 複合フィルターの使用方法」もご確認ください。
ファイル出力
テキストファイルで出力が可能です。
フィルターを設定することにより各種条件で絞り込んでの出力も可能です。
設定場所：サーバー設定＞ファイルへ出力＞ファイル出力先
ファイル名設定
ファイル名を設定することができます。
ファイル名テンプレート欄の「…」をクリックし、展開されたウィンドウの構文を変更します。
※ 構文の入力方法については「Syslog Watcher 6 導入ガイド」をご参照ください。
設定後の確認ポイント
こちらのチェック表を用いて、設定した内容で運用が再現できているかをご確認ください。
| チェック項目 | 確認内容 |
| ログ受信 | 想定している機器からログを受信している |
| ログ保存 | 受信したログがローカルのストレージに 保存されている |
| ログ検索 | 保存したログを検索・閲覧できる |
| 保存期間 | 想定した保持期間が設定されている |
| 保存容量 | ストレージ容量の設定が適切 |
| アーカイブ | 有効にした場合、 アーカイブが正常に実行される |
| ログ転送 | 転送設定をした場合、転送先で受信できる |
| ファイル出力 | 必要なログが指定したファイルに出力される |
| Eメールアラート | テスト条件でメールが発報される |
| 時刻 | ログの日時が想定どおり表示される |
おわりに
この記事では、現在のSyslog運用をSyslog Watcherで再現するための設定例をご紹介しました。
他にも複合フィルターでの組み合わせや構文によりいろいろな設定が可能です。
もしご不明点がございましたらお気軽にお問い合わせください。
