Glossaire
RFC 5424 (protocole syslog)
Le format actuel du protocole syslog : numéro de version, horodatage complet avec fuseau et données structurées ; surtout utilisé par relais et collecteurs.
La RFC 5424 (2009) définit le protocole syslog actuel. Un message a un en-tête fixe : une priorité entre chevrons, la version du protocole 1, un horodatage RFC 3339 avec fractions de seconde et décalage UTC, le nom d’hôte, le nom de l’application, l’identifiant de processus, un identifiant de message, puis les données structurées et le message en texte libre. Les champs d’en-tête absents s’écrivent -, la NILVALUE.
La priorité encode la facility et la sévérité sous la forme facility × 8 + sévérité : <38> correspond à la facility 4 (auth) et à la sévérité 6 (info). Les données structurées sont une liste d’éléments entre crochets, comme [origin ip="192.0.2.20"], qui transportent des paires clé-valeur à côté du texte.
Pourquoi c’est important en investigation
Contrairement à la RFC 3164, l’horodatage porte son année et son décalage : aucune déduction d’année ni hypothèse de fuseau n’est nécessaire. On rencontre surtout la RFC 5424 dans les journaux reçus par des collecteurs centraux et des relais SIEM, souvent via TCP ou TLS, plutôt que dans des fichiers écrits localement. Ces copies sont précieuses : elles ont quitté la machine au moment de l’événement, et un intrus root sur l’hôte ne peut pas les modifier. Comparer les messages RFC 5424 relayés avec l’auth.log de l’hôte permet de montrer qu’un fichier local a été modifié. Gardez à l’esprit que le nom d’hôte, le nom d’application et le PID restent fournis par l’émetteur.
Exemple
<38>1 2026-09-14T10:02:11.482Z fin-jump-01 sshd 3071 - - Accepted password for svc_backup from 203.0.113.45 port 51544 ssh2
Priorité 38 (auth.info), version 1, un horodatage UTC, l’hôte fin-jump-01, l’application sshd, le PID 3071, ni identifiant de message ni données structurées (- -), puis le message. rsyslog produit cette disposition avec son modèle RSYSLOG_SyslogProtocol23Format.
Termes associés
- RFC 3164 : le format traditionnel, sans année ni fuseau.
- rsyslog : un émetteur et récepteur courant de RFC 5424.
Linux Log Parser lit les lignes RFC 3164, RFC 3339 et RFC 5424. Voir le guide de référence.