NTSyslogのfacility値について

質問

NTSyslogを使ってWindows Server 2003 R2 Stdのイベントログを運用管理サーバへ
転送しようとしています。

　NTSyslog(WinSrv2003)->syslog-ng(CentOS5.2)

という構成になります。マニュアルがありますので、途中まではうまく設定できたの
ですが、NTSyslogについての設定がよく分かりませんでした。
参考(hinemosインストールマニュアル等)：http://sourceforge.jp/projects/hinemos/releases/?package_id=4738​

　具体的には、facility設定と合わせてPriorityも設定しなければなりませんが、
参考：http://matsui.homeunix.com/index.php?FreeBSD%2Fsyslog-ng#g6346823

　facility値がWindows Serverのイベントログの何と対になっているのかが全く判りません。
参考：http://support.microsoft.com/kb/308427/ja

　いろいろ調べてみましたが、説明無しにfacility値にuserに設定するとか、debugに設定するなど
がありましたが、何か根拠や説明が欲しいところです。

　宜しくお願い致します。

回答No.2

noname#204416 · ベストアンサー

NTSyslogで転送するsyslogとイベントログの内容は次のような
割り当てになってますので、何を監視したいかが判ります。

NTsyslog <--> Windowsイベントログ
----------------------------------------------
user --> イベントログ[アプリケーション]
daemon --> イベントログ[システム]
local0,syslog,auth,Logaudit -->イベントログ[セキュリティ]
ほかのファシリティは、使っていないようです。
　というのもNTSyslogが今まで投げてくれているのが、これらだけですので、NTSyslogの仕様が判らないので、他にもある可能性があります。

syslogに割り当てられているプライオリティは、割り当て名称が異なる。
エラー-->Alert(アプリケーションの場合Error)
警告-->notice(アプリケーションの場合：Warning)
情報-->infomation

後のプライオリティは、(debugは除く)使われていない。

回答No.1

ts244

syslog 自体はメッセージフォーマットしか規定されていないためfacility値の割り当てに「こうしなければならない」という決まりはありません。　「Filterして記録するファイルを変える」などの管理する際の都合で適当にポリシーを決め、それを割り当てれば問題ありません。

が、大抵の管理ツールで伝統的に以下の名前に括りつけられているので
あまりに関係なさそうな、割り当てポリシーは避けた方が良いでしょう。

RFC5424 The Syslog Protocolより(一部見た目を修正)
Numerical Facility
Code
0 ＝ kernel messages
1 ＝ user-level messages
2 ＝ mail system
3 ＝ system daemons
4 ＝ security/authorization messages
5 ＝ messages generated internally by syslogd
6 ＝ line printer subsystem
7 ＝ network news subsystem
8 ＝ UUCP subsystem
9 ＝ clock daemon
10 ＝ security/authorization messages
11 ＝ FTP daemon
12 ＝ NTP subsystem
13 ＝ log audit
14 ＝ log alert
15 ＝ clock daemon (note 2)
16 ＝ local use 0 (local0)
17 ＝ local use 1 (local1)
18 ＝ local use 2 (local2)
19 ＝ local use 3 (local3)
20 ＝ local use 4 (local4)
21 ＝ local use 5 (local5)
22 ＝ local use 6 (local6)
23 ＝ local use 7 (local7)
Table 1. Syslog Message Facilities

因みに実際のメッセージでのPRI値は
”PRI値＝Facility値 * 8 + Severity値”の10進表記になります

補足

回答ありがとうございます。

イベントビューアの
・アプリケーション ログ
・セキュリティ ログ
・システム ログ
などがfacilityと同意であろうかと考えておりました。
　NTSyslogでは転送するイベントログとして選択され
ますが、その中でさらにfacilityを選択するようにな
っております。
　私の考えでは、アプリケーション(ログ)etc=facilityと
捉えていたところが、誤解の元だったと思います。

　アプリケーション　ログなどとFacilityは別物と
捉え直してみた場合に、たとえばアプリケーション
ログの何かの項目をフィルタして抽出するための物
として捉える事が正しいとという解説で宜しいでし
ょうか？

　そうであるならば、そのフィルタする対象はFacility
値が何を対象としているのか？　
　Priority値は、それが判ればテストすることで判明
するかと思いますが、Facility値だけは今のところ曖昧
な部分が多くて理解が進んでいません。