Skip to content
Linux Log Parser

Glossar

RFC 5424 (Syslog-Protokoll)

Das aktuelle Syslog-Protokollformat mit Versionsnummer, vollständigem Zeitstempel samt Zeitzone und strukturierten Daten, vor allem bei Log-Collectors.

RFC 5424 (2009) definiert das aktuelle Syslog-Protokoll. Eine Nachricht hat einen festen Header: eine Priorität in spitzen Klammern, die Protokollversion 1, einen RFC-3339-Zeitstempel mit Sekundenbruchteilen und UTC-Offset, den Hostnamen, den Anwendungsnamen, die Prozess-ID, eine Nachrichten-ID, danach strukturierte Daten und die Freitextnachricht. Fehlende Header-Felder werden als - geschrieben, der NILVALUE.

Die Priorität kodiert Facility und Schweregrad als Facility × 8 + Schweregrad: <38> steht für Facility 4 (auth) und Schweregrad 6 (info). Strukturierte Daten sind eine Liste von Elementen in eckigen Klammern wie [origin ip="192.0.2.20"], die Schlüssel-Wert-Paare neben dem Text transportieren.

Warum es in Ermittlungen wichtig ist

Anders als bei RFC 3164 enthält der Zeitstempel Jahr und Offset, es muss also weder ein Jahr abgeleitet noch eine Zeitzone geraten werden. RFC 5424 begegnet einem vor allem in Logs, die zentrale Collectors und SIEM-Forwarder empfangen, oft über TCP oder TLS, seltener in lokal geschriebenen Dateien. Diese Kopien sind wertvoll: Sie haben das System zum Zeitpunkt des Ereignisses verlassen, und ein Angreifer mit Root-Rechten auf dem Host kann sie nicht bearbeiten. Ein Abgleich der weitergeleiteten RFC-5424-Nachrichten mit der auth.log des Hosts kann belegen, dass eine lokale Datei verändert wurde. Beachten Sie, dass Hostname, Anwendungsname und PID weiterhin vom Absender stammen.

Beispiel

<38>1 2026-09-14T10:02:11.482Z fin-jump-01 sshd 3071 - - Accepted password for svc_backup from 203.0.113.45 port 51544 ssh2

Priorität 38 (auth.info), Version 1, ein UTC-Zeitstempel, Host fin-jump-01, Anwendung sshd, PID 3071, weder Nachrichten-ID noch strukturierte Daten (- -), dann die Nachricht. rsyslog erzeugt dieses Layout mit seiner Vorlage RSYSLOG_SyslogProtocol23Format.

Verwandte Begriffe

  • RFC 3164: das traditionelle Format ohne Jahr und Zeitzone.
  • rsyslog: ein verbreiteter Sender und Empfänger von RFC 5424.

Linux Log Parser liest Zeilen nach RFC 3164, RFC 3339 und RFC 5424. Siehe den Grundlagenleitfaden.