Glossaire
RFC 3164 (format syslog traditionnel)
Le format de ligne syslog BSD traditionnel, Mmm dd HH:MM:SS host tag: message, en heure locale, sans année ni fuseau horaire.
La RFC 3164 (2001) a documenté le protocole syslog BSD tel qu’il était utilisé en pratique. Sur le réseau, un message commence par une priorité entre chevrons, suivie d’un horodatage de la forme Mmm dd HH:MM:SS, du nom d’hôte, d’une étiquette (généralement le nom du programme et son PID) et du message. Dans les fichiers, la priorité est normalement omise, ce qui donne la ligne familière Sep 14 10:02:11 fin-jump-01 sshd[3071]: ....
rsyslog écrit ce format avec son modèle RSYSLOG_TraditionalFileFormat. RHEL, Rocky, Alma et Fedora l’utilisent toujours pour /var/log/secure et /var/log/messages, comme le faisaient les versions de Debian et d’Ubuntu antérieures à Ubuntu 24.04 et Debian 12, passées depuis à des horodatages RFC 3339 avec microsecondes et décalage.
Pourquoi c’est important en investigation
L’horodatage n’a ni année ni fuseau horaire. L’heure est locale à l’hôte : il faut la convertir avec le fuseau de /etc/localtime (ou /etc/timezone) collecté sur la même machine. L’année doit être déduite de la date de modification du fichier et de l’ordre de rotation, en surveillant les fichiers qui chevauchent le Nouvel An : des lignes de décembre suivies de lignes de janvier appartiennent à deux années différentes. Autour des changements d’heure, des heures locales peuvent se répéter ou manquer. La moindre erreur place les lignes au mauvais endroit dans une chronologie fusionnée. L’étiquette n’est pas vérifiée non plus : n’importe quel utilisateur local peut écrire avec logger une ligne qui prétend venir de sshd.
Exemple
Le même événement dans les deux formats :
Sep 14 10:02:11 fin-jump-01 sshd[3071]: Accepted password for svc_backup from 203.0.113.45 port 51544 ssh2
2026-09-14T10:02:11.482113+00:00 fin-jump-01 sshd[3071]: Accepted password for svc_backup from 203.0.113.45 port 51544 ssh2
La seconde forme, RFC 3339, ne demande aucune déduction ; la première a besoin d’une année et d’un fuseau venus d’ailleurs.
Termes associés
- RFC 5424 : le protocole syslog récent, avec horodatage complet.
- rsyslog : le démon qui écrit ces fichiers.
- Journal systemd : stocke les mêmes messages en microsecondes UTC.
Linux Log Parser déduit l’année et convertit le fuseau pour vous. Voir l’analyse forensique d’auth.log.