（4）syslog方式

已成为工业标准协议的系统日志（syslog）协议是在加利福尼亚大学伯克立软件分布研究中心（BSD）的TCP/IP系统实施中开发的，目前，可用它记录设备的日志。在路由器、交换机和服务器等网络设备中，syslog记录着系统中的任何事件，管理者可以通过查看系统记录随时掌握系统状况。它能够接收远程系统的日志记录，在一个日志中按时间顺序处理包含多个系统的记录，并以文件形式存盘。同时，不需要连接多个系统就可以在一个位置查看所有的记录。syslog使用UDP作为传输协议，通过目的端口514（也可以是其他定义的端口号），将所有安全设备的日志管理配置发送到安装了syslog软件系统的日志服务器，syslog日志服务器自动接收日志数据并写入日志文件。

另外，选用以syslog方式采集日志数据非常方便，具有如下原因。

第一，syslog协议广泛应用在编程上，许多日志函数都已采纳syslog协议，syslog用于许多保护措施中，可以通过它记录任何事件，通过系统调用记录用户自行开发的应用程序的运行状况。研究和开发一些系统程序是日志系统的重点功能之一，例如网络设备日志功能将网络应用程序的重要行为向syslog接口呼叫并记录为日志，大部分内部系统工具（如邮件和打印系统）都是如此生成信息的，许多新增的程序（如tcpwrappers和SSH）也是如此工作的。通过syslogd（负责大部分系统事件的守护进程），可以将系统事件写到一个文件或设备中，或给用户发送一条信息，它能记录本地事件或通过网络记录远端设备上的事件。(https://www.daowen.com)

第二，当今网络设备普遍支持syslog协议。几乎所有的网络设备都可以通过syslog协议，将日志信息以用户数据报协议（UDP）方式传送到远端服务器。远端接收日志服务器必须通过syslogd监听UDP端口514，并根据syslog.conf配置文件中的配置处理本机，接收访问系统的日志信息，把指定的事件写入特定文件中，供后台数据库管理和响应之用。这意味着可以让任何事件都登录到一台或多台服务器上，以备后台数据库用off-line（离线）方法分析远端设备的事件。

第三，syslog协议和进程的最基本原则就是简单，在协议的发送者和接收者之间不要求严格的相互协调。事实上，syslog信息的传递可以在接收器没有被配置甚至没有接收器的情况下开始。反之，在没有清晰配置或定义的情况下，接收器也可以接收到信息。