Ahoj, před nějakou dobou jsem byl nucen zprovoznit centrální syslog server pro sběr logů dle zákona o kybernetické bezpečnosti. Pro sběr jsem se rozhodl použít program rsyslog a konfiguraci napsat v RainerScript. Níže je pro inspiraci nastavení, které jsem použil. Tento server sbírá logy z více než tisícovky Windows, Linux, UNIX serverů a síťových prvků a za den vytváří cca 70GB dat. Pro představu běží na železe s procesorem 1x 2GHz a 1024 RAM. Vyhodnocování dělám jinde.
Více na http://www.rsyslog.com/doc/rainerscript.html

# DonJirka Settings

# Load Modules
module(load="imudp")
module(load="imuxsock")
module(load="omudpspoof")
#module(load="impstats" interval="21600" severity="7" log.file="/var/syslog/remote/stats.log")


# rsyslog Templates
    template(name="file_format" type="list") {
    property(name="timestamp" dateFormat="rfc3339")
    constant(value=" ")
    property(name="fromhost-ip")
    constant(value=" ")
    property(name="syslogtag")
#    property(name="msg" spifno1stsp="on" )
    property(name="msg" )
    constant(value="\n")
    }

template(name="forward" type="list") {
    constant(value="<")
    property(name="pri")
    constant(value=">")
    property(name="timestamp" dateFormat="rfc3339")
    constant(value=" ")
    property(name="hostname")
    constant(value=" ")
    property(name="syslogtag" position.from="1" position.to="32")
    property(name="msg" spifno1stsp="on" )
    property(name="msg")
    }

#template(name="to_file" type="string" string="/mnt/syslog/remote/%FROMHOST:::lowercase%/%$NOW%-%FROMHOST:::lowercase%.log")
template(name="to_file" type="string" string="/var/syslog/remote/%FROMHOST-IP%/%$NOW%-%FROMHOST-IP%.log")

# rsyslog Input Modules
input(type="imudp" port="514" ruleset="RemoteDevice")

# RuleSet
ruleset(name="RemoteDevice") {
 action (
   type="omfile"
   DynaFile="to_file"
   template="file_format"
 )

# Forwarding messeage
 action (
  type="omudpspoof"
  target="10.0.0.33"
  sourceport.start="0"
  sourceport.end="65535"
#  template="forward"
 )

}

*.* action (
  type="omfile"
  DynaFile="to_file"
  template="file_format"
)