日志文件监控分析使用说明

日志文件监控分两种方式,如下:
1、第一种方式,直接指定日志文件的完整路径(可以是任意类型的文件,不一定是*.log),如:/usr/local/nginx/logs/access.log
注意:监控的日志文件大小尽量不要超过200MB,不然可能会对agent性能有影响
2、第二种方式,指定应用输出日志文件的目录,agent每次会扫描时间戳最新的*.log文件,注意此种方式只会扫描日志目录下的*.log文件,其他类型文件不支持(v3.4.1开始已可以支持.out和.txt)。
v3.3.6或以上版本,已支持在日志目录下扫描指定应用或来源输出的log文件,通过配置【日志文件名称需包含的关键字】即可
比如/usr/log/下有日志文件:
wgcloud.2021-12-09.0.log
wgcloud.2021-12-08.0.log,wgcloud.2021-12-07.0.log
redis.2021-12-09.0.log
我们只想监控/usr/log/下wgcloud的日志文件,那么就配置【日志文件名称需包含的关键字】为【wgcloud】即可,即用文件名里的关键字来区分
如果监控日志目录下都是同一个应用输出的log文件,就不用配置【日志文件名称需包含的关键字】
如果监控日志路径中包含动态的日期,比如/usr/log/20240520/,其中20240520可以用{yyyyMMdd}来代替,系统会自动替换为当前日期,也可以用{yyyy-MM-dd}来代替2024-05-20
3、其他说明,agent默认每10分钟扫描一次日志文件,可以在agent/config/application.properties配置修改此时间,建议默认或大于10分钟
日志文件默认10分钟检测一次,比如监控日志文件:/home/test.log
第一次扫描:第1行-文件结束行数
第二次扫描:上次扫描结束行数-文件结束行数
4、日志文件监控支持批量添加,适合多个主机有同样的日志文件或目录需要监测
5、v3.3.8开始,日志文件监控,改造为提取显示包含设置告警关键字的整行日志内容,不再只显示包含告警关键字的行数
6、日志文件监控视频讲解
7、这是一个示例说明,用于ubuntu的入侵行为检测