ログ管理・ログ監視システムは、サーバのOSやアプリケーションのログ、ネットワーク機器のログなどを収集・監視するシステムです。ログは、問題の早期発見だけでなく、問題の原因を特定する際においても重要な役割を果たします。そのため、ログを把握することで、不正の未然防止やセキュリティ対策にも役立つのです。システムの導入前は、問題の発見・分析の両方を考慮して監視ツールを選ぶ必要があります。この記事では、ログ管理・ログ監視システムに使えるOSSのツールを紹介します。
統合監視ソフトウェアでは、ログ管理、ログ監視を含むすべての機能を持ったものも少なくありません。しかし、現実的には、すべての機能を一つのサーバ機器で運用することは好ましくありません。なぜなら、障害発生時や異常を検知した際はログが大量に出力される場合があり、ログ監視とサービス監視を一緒に行うと、ログの通信記録や解析処理によって監視サーバに大きな負荷や時間がかかり、通知が遅れるなどの原因になってしまうからです。そのため、以下のような監視ソフトウェアのうち、目的や用途、組織内の利用環境などによって、自社に合ったツールをそれぞれ使い分けるのが懸命です。
SyLASは、デージーネットが作成したオープンソースのログ管理ソフトウェアです。rsyslogのログ通知機能を使って、ログの文字列をチェックし、メールで通知を送ることができます。また、ログを全文検索エンジンのElasticsearchに保管し、ログを高速に検索することができます。国産ソフトウェアですので、WEB画面は日本語表記です。
Graylogは、SyLASと同様にElasticsearchやOpenSearchにログを保管し、高速検索することができる統合型のログ管理ソフトウェアです。Graylog4.3より、Elasticsearch7.11以降のバージョンはサポートされないため、Graylog4.3以降は、OpenSearchの利用を推奨しています。
Graylogは非常に高機能なソフトウェアで、ユーザーによって管理・監視対象のログを変えられたり、解析結果をグラフで可視化することができます。解析方法をあらかじめ定義して監視コンソールを作成することができるのも便利です。単体でsyslogサーバとして動作させることもできますし、HTTPやFTPなどのプロトコルでログを収集することもできます。また、さまざまな種類のネットワーク機器のログフォーマットに対応した、多様な解析パターンがあらかじめ用意されているのも特徴です。
ただし、操作画面は英語での表示となっています。コミュニティは他国語対応をしないと表明しています。そのため、デージーネットでは日本語の操作マニュアルを公開しています。
OpenObserveとは、ログの全文検索エンジンとフロントエンドUIを兼ね備えたログ管理ソフトです。OpenObserveは、140倍のストレージコスト効率や高パフォーマンスとうたわれており、他のツールと比べ、ストレージ効率が良いという特徴があります。ElasticsearchやSplunkやDatadogを意識して開発されています。Elasticsearchとは互換性があり、既存のElasticsearchツールとクエリを引き続き使用することが可能です。
OpenObserveは、データの圧縮率が非常に高いというメリットがあります。デージーネットでは調査を行い、元のデータから約18分の1のサイズに圧縮してデータを保存できることを確認しています。また、ログの検索にも特化しており、専用のインターフェイスを使用して、サーバ、仮想マシン、コンテナを可視化することができます。OpenObserveは、高い圧縮率でデータを保管するため、CPUコストを抑えることができ、コストをあまりかけられないが大量のログの保管が必要なシステムに適しています。
rsyslogは、多くのLinuxディストリビューションで利用されているsyslogサーバのソフトウェアです。rsyslogには、ログの文字列をチェックし、必要に応じてメールで通知する機能が標準で備わっています。そのため、特別なソフトウェアを導入しなくても、ログ監視を実現することができます。
syslog-ngも、rsyslogと同様にいくつかのLinuxディストリビューションで採用されているsyslogサーバーのソフトウェアです。柔軟なフィルタリング機能や設定オプションなどを備えているのが特徴です。syslog-ngにも、ログの文字列をチェックし、必要に応じてプログラムを起動する機能が搭載されています。この機能を活用することで、メールで通知を行うことができます。
swatchは、Simple log Watcherの略で、シンプルなログ監視機能を提供するツールです。正規表現に一致する行があった際にコマンドを実行することができます。この機能を使って、メール通知を行うことも可能です。