Zusammenfassung

  • Ein korrekt arbeitender Filter kann das Fehlersymptom erhalten und den Kontext ausschließen, der seine Ursache unterscheidbar machen würde. Fehlende Einträge sind deshalb nicht automatisch Belege für ausgebliebene Ereignisse.
  • RFC 9742 beschreibt Auswahl je Ausgabe und optionale Funktionen. Ein gültiges Modell garantiert weder gleiche Fähigkeiten aller Geräte noch eine vollständige Vorfallgeschichte.
  • Wer Filter und Aufbewahrung vor dem Vorfall ändern kann, beeinflusst spätere Überprüfbarkeit. Die entscheidende Frage lautet auch, wer unabhängig feststellen kann, was diese Einstellungen tatsächlich bewirkten.

Die Untersuchung übernimmt eine frühere Auswahl

Ein Archiv enthält Authentifizierungsfehler und den anschließenden Ausfall. Der weniger dringliche Hinweis auf einen vorausgehenden Eingriff fehlt. Damit lässt sich möglicherweise nicht mehr unterscheiden, ob eine legitime Änderung oder eine andere Ursache vorlag. In diesem hypothetischen Beispiel muss kein Sammler versagt haben: Die Fern-Ausgabe kann den Kontext regelgerecht ausgeschlossen haben.

Die Suche nach einem Vorfall beginnt also nicht mit einer neutralen Gesamtheit. Sie beginnt mit dem Ergebnis früherer Auswahlentscheidungen. „Nichts gefunden“ benötigt eine Beschreibung dieser Gesamtheit: Welche Meldungen konnten in genau dieses Archiv gelangen, welche kamen an, und wie weit reicht sein verbliebener Inhalt zurück?

RFC 9742, im April 2025 im IETF Standards Track veröffentlicht, definiert das YANG-Konfigurationsmodell ietf-syslog für Konsole, lokale Dateien und entfernte Relays oder Collectors. Die Veröffentlichung belegt keine konkrete Herstellerimplementierung oder Nutzung im Betrieb.

Ein gemeinsames Modell erleichtert den Vergleich von Richtlinien. Es belegt nicht, dass die Anwendung sämtliche relevanten Ereignisse erzeugte, dass die gewünschte Konfiguration in Gebrauch war, dass Meldungen zugestellt wurden oder dass der Empfänger sie dauerhaft behielt. Diese Aussagen brauchen jeweils eigene Belege.

Dringlichkeit ist kein zukünftiger Beweiswert

Selektoren hängen an der jeweiligen Aktion: Konsole, benannte Datei und benanntes Fernziel. Unterschiedliche Ausgaben eines Geräts können daher unterschiedliche Geschichten enthalten, ohne der Konfiguration zu widersprechen. Die Feststellung „Logging ist eingeschaltet“ sagt noch nicht, für welche Meldungen an welchem Ziel.

Der Standardvergleich für severity wählt die angegebene Dringlichkeit und dringlichere Klassen, deren Zahlencodes kleiner sind. error bedeutet nicht ausschließlich exakte Gleichheit mit error. Ein solcher Schwellenwert kann gleichzeitig weniger dringlichen Kontext auslassen, der nachträglich zur Unterscheidung von Ursachen gebraucht wird. Eine Erfolgsbestätigung muss keine Fehlermeldung sein, um zu zeigen, ob eine Maßnahme wirkte.

all und none sind ausdrücklich definierte Alternativen. Mit der optionalen Funktion select-adv-compare stehen equals und equals-or-higher sowie die Aktionen log, block und stop zur Verfügung. Stop beendet die weitere Verarbeitung dieser Meldung. Im erweiterten Container sind equals-or-higher und log die Standardwerte. Eine Kurzbeschreibung des Levels kann somit Gleichheit, Schwelle und Sperre verdecken.

select-match schaltet die Auswahl durch pattern-match frei. Das normative Modul beschreibt einen POSIX-Ausdruck auf SYSLOG-MSG, also der gesamten syslog-Meldung, nicht bloß auf ihrem abschließenden MSG-Text. Sind facility-Auswahl und Muster gleichzeitig konfiguriert, müssen beide passen. Ein breiter facility-Filter kann durch die zweite Bedingung enger werden.

Ändert eine Anwendung Wortlaut oder Format, kann dies das Auswahlverhalten ändern, obwohl die operative Bedeutung gleich bleibt. Das muss an der konkreten Implementierung beobachtet werden. Hier wurde weder ein bestimmter Regex-Motor getestet noch eine allgemeingültige Ausführungsreihenfolge aller Regellisten behauptet. Weniger Rauschen kann zugleich weniger unterscheidbaren Kontext bedeuten.

Ein Dateilimit ist keine historische Zusage

Die Auswahl beantwortet noch nicht, wie lange ihre Ergebnisse überleben. file-limit-size macht maximale Dateizahl und maximale Größe konfigurierbar; die Zahl hat den Standardwert eins, die Größe wird in Megabyte angegeben. file-limit-duration macht rollover und retention in Minuten verfügbar. Der RFC schreibt keine numerische Mindestdauer für Vorfallbelege vor.

Rollover beschreibt das Schließen der aktuellen Datei, wenn nach dem Intervall Ereignisse eintreffen. Retention betrifft abgeschlossene oder geschlossene Dateien vor deren Entfernung. Das ist keine Zusage, jedes einzelne Ereignis bleibe ab seinem Auftreten für genau diese Zeit abrufbar. Nicht vorgegebene Archivgrenzen werden von der Implementierung bestimmt.

Anhang B.3 erläutert Dateinamen, Umbenennung und Entfernung informativ. Er schreibt keinen verbindlichen Rotationsalgorithmus oder eine vollständige Rangfolge kombinierter Grenzen vor. Dateizahl mal Maximalgröße ergibt deshalb keinen verlässlichen Zeitraum. Kompression, Ereignisgrößen, Zählweise und weitere Grenzen beeinflussen die verfügbare Geschichte.

Bei begrenztem Speicher kann ein Meldungsschub die Vergangenheit schneller verdrängen. Das ist ein Kapazitätsmechanismus, keine hier gemessene Aufbewahrungsformel. Auch unveränderte Einstellungen können weniger zeitliche Abdeckung bieten, wenn ein Ausfall besonders viele Symptome erzeugt. Gerade dann können frühere Bedingungen verloren gehen.

Lokale Dateien teilen unter Umständen die physische Störung des Geräts. Ein Fernziel verändert diese Abhängigkeit, führt aber Übertragung und Aufbewahrung beim Empfänger ein. Die lokale Rotation beweist weder dauerhafte Speicherung im Collector noch dessen spätere Löschentscheidung.

Die Reichweite einer sicheren Verbindung

Jeder Fernzieleintrag muss UDP oder TLS wählen, mit Adresslisten innerhalb des gewählten Falls. Die Standardports sind 514 beziehungsweise 6514. Die Auswahl gilt für diesen Eintrag; daraus folgt kein Verbot unterschiedlicher Transporte in separat benannten Zielen.

RFC 5426 beschreibt UDP als unzuverlässig: Meldungen können ohne Hinweis verloren gehen, und die Empfangsreihenfolge ist keine maßgebliche Ereignisfolge. TLS schützt Vertraulichkeit und Integrität eines Übertragungssprungs bei angemessener Authentifizierung und Autorisierung. Nach RFC 5425, Abschnitt 3, muss die authentifizierte Transportidentität nicht dem HOSTNAME in der Meldung entsprechen. Einer Relay-Verbindung zu vertrauen bestätigt nicht jede darin weitergereichte Herkunftsbehauptung.

Abschnitt 6.3 stellt außerdem klar, dass es keine Anwendungsbestätigung gibt. Bei abgebrochener Verbindung weiß der Sender nicht immer, welche Meldungen die Anwendung am anderen Ende erreichten. Empfang, dauerhafte Speicherung und inhaltliche Wahrheit bleiben verschiedene Fragen. Verschlüsselung stellt nichts wieder her, was ein Filter schon vor dem Senden verworfen hat.

Die optionale Funktion structured-data für Datei- und Fernaktionen hat den booleschen Standard false. False schreibt NILVALUE; true schreibt ein oder mehrere strukturierte Elemente. RFC 5424 definiert dieses auswertbare Feld getrennt vom optionalen Meldungstext. Aktivierung erzeugt keine fehlenden Fakten und validiert nicht deren Bedeutung; Deaktivierung kann erwarteten strukturierten Kontext entfernen.

Unterschiede hinter demselben Modulnamen

Die YANG Library aus RFC 8525 identifiziert Revisionen, unterstützte Funktionen, Deviations und Schemas je Datastore. if-feature knüpft Knoten an die Unterstützung der Funktion. ietf-syslog allein belegt folglich weder Regex-Auswahl noch zeitgesteuerte Aufbewahrung. Eine deklarierte Abweichung macht den Unterschied untersuchbar, nicht bedeutungslos.

RFC 9742 warnt in B.1, dass erweiterte facilities mit RFC 5424 nicht funktionieren können und deshalb lokale syslog-ähnliche Funktionen betreffen. Die lokale Klassifikation muss nicht portabel sein. facility-override ersetzt die gesendete facility; die optionale Quellschnittstelle bestimmt einen Ausgang, ohne eine institutionelle Identität zu authentifizieren.

RFC 8342 trennt schließlich intended, die transformierte und anzuwendende Konfiguration, von operational mit tatsächlich verwendeten Werten und Systemzustand samt Berichtsvorbehalten. Ein Vergleich kann gegenwärtige Unterschiede zeigen. Eine Momentaufnahme nach der Reparatur beweist allein nicht den Zustand während des Vorfalls.

Der Standard ist damit ein Werkzeug, um Grenzen zu beschreiben. Er definiert keine Beweismittelkette, automatische Prüfung oder vollständige Incident-Historie. Bevor Stille als Nichtauftreten gedeutet wird, müssen Auswahl, tatsächlicher Betrieb, Lieferung und Erhaltung bekannt sein. Andernfalls ist die Stille zunächst eine Eigenschaft des durchsuchten Archivs.