Skip to content
Linux Log Parser

Glossar

RFC 3164 (traditionelles Syslog-Format)

Das traditionelle BSD-Syslog-Zeilenformat, Mmm dd HH:MM:SS host tag: message, in lokaler Zeit ohne Jahr und ohne Zeitzone.

RFC 3164 (2001) dokumentierte das BSD-Syslog-Protokoll so, wie es in der Praxis verwendet wurde. Im Netz beginnt eine Nachricht mit einer Priorität in spitzen Klammern, gefolgt von einem Zeitstempel der Form Mmm dd HH:MM:SS, dem Hostnamen, einem Tag (meist Programmname und PID) und der Nachricht. In Logdateien fehlt die Priorität normalerweise, so entsteht die vertraute Zeile Sep 14 10:02:11 fin-jump-01 sshd[3071]: ....

rsyslog schreibt dieses Format mit seiner Vorlage RSYSLOG_TraditionalFileFormat. RHEL, Rocky, Alma und Fedora nutzen es weiterhin für /var/log/secure und /var/log/messages, ebenso Debian- und Ubuntu-Versionen vor Ubuntu 24.04 und Debian 12, die seitdem RFC-3339-Zeitstempel mit Mikrosekunden und Offset schreiben.

Warum es in Ermittlungen wichtig ist

Der Zeitstempel hat weder Jahr noch Zeitzone. Die Zeit ist lokal zum Host und muss mit der Zone aus /etc/localtime (oder /etc/timezone) desselben Systems umgerechnet werden. Das Jahr muss aus der Änderungszeit der Datei und der Rotationsreihenfolge abgeleitet werden; Vorsicht bei Dateien über den Jahreswechsel: Auf Dezember-Zeilen folgende Januar-Zeilen gehören zu zwei verschiedenen Jahren. Bei der Zeitumstellung können sich lokale Uhrzeiten wiederholen oder ausfallen. Jeder Fehler hier setzt Zeilen an die falsche Stelle einer zusammengeführten Zeitleiste. Auch das Tag wird nicht geprüft: Jeder lokale Benutzer kann mit logger eine Zeile schreiben, die vorgibt, von sshd zu stammen.

Beispiel

Dasselbe Ereignis in beiden Formaten:

Sep 14 10:02:11 fin-jump-01 sshd[3071]: Accepted password for svc_backup from 203.0.113.45 port 51544 ssh2
2026-09-14T10:02:11.482113+00:00 fin-jump-01 sshd[3071]: Accepted password for svc_backup from 203.0.113.45 port 51544 ssh2

Die zweite Form nach RFC 3339 braucht keine Ableitung; die erste benötigt ein Jahr und eine Zone aus Quellen außerhalb der Zeile.

Verwandte Begriffe

  • RFC 5424: das neuere Syslog-Protokoll mit vollständigem Zeitstempel.
  • rsyslog: der Daemon, der diese Dateien schreibt.
  • systemd-Journal: speichert dieselben Nachrichten in UTC-Mikrosekunden.

Linux Log Parser leitet das Jahr ab und rechnet die Zeitzone um. Siehe auth.log-Forensik.