vLab-BZH/logstream
2
0 Fork 0
Code Issues Pull Requests 1 Actions Packages Projects Releases Wiki Activity

Sources « Audit Linux (auditd) » et « Logs internes de LogStream » #21

Closed
claude Bot wants to merge 0 commits from feat/audit-selflogs into main
pull from: feat/audit-selflogs
merge into: vLab-BZH:main
Conversation 0 Commits - Files Changed -
claude Bot commented 2026-10-04 15:03:11 +02:00
Copy link
Copy source

Requested by Cédric

Un seul commit (076c01a) au-dessus de main (f3373e1) : la fusion en fast-forward est possible.

Audit Linux (source_type=audit)

  • Suit /var/log/audit/audit.log (chemin modifiable dans Réglages > Sources, AUDIT_LOG), avec un interrupteur. Gère la rotation (la fin de audit.log.1 est lue avant le nouveau fichier) et enregistre un checkpoint d'offset dans /data/audit-state.json. À l'activation, lit la période AUDIT_BACKFILL (1h).
  • Regroupe les enregistrements par msg=audit(ts:serial). Un événement est fermé à l'arrivée d'un EOE, après 2 s sans nouvel enregistrement, ou quand le journal a avancé de 2 s au-delà de lui.
  • Champs : audit_type, audit_serial, auid, user (nom enrichi, /etc/passwd de l'hôte, ou uid brut), exe, res, key, audit_raw. app = audit_type. host = node=, sinon AUDIT_HOST, sinon /host/etc/hostname, sinon localhost.
  • Résumé au format qui: quoi [key] → résultat. Sévérité warning si res=failed ou success=no, info sinon. Les valeurs hexadécimales sont décodées.

Logs internes (source_type=logstream)

  • logEvent() couvre : VictoriaLogs injoignable puis de retour, lots perdus, lots du spool refusés, erreurs du listener syslog, API Docker ou flux d'un conteneur décrochés, sources en échec, démarrage et arrêt. host=logstream, app = composant.
  • Actif par défaut à partir de warning. Interrupteur et niveau minimal dans Réglages > Sources.
  • File bornée qui n'attend jamais le Store. Un même événement est émis au plus une fois toutes les 30 s, avec le nombre de répétitions. Une panne du Store ne peut donc pas boucler.

Interface

  • Liseré gauche violet (audit) ou turquoise (LS), fond teinté, variantes claire et sombre.
  • Badge AUDIT ou LS avant l'app.
  • Ligne brute de l'audit sous le résumé, repliée en mode compact tant que la ligne n'est pas ouverte.
  • Options Audit et LogStream dans le filtre Source. Traductions FR et EN.

Tests

  • go vet ./... et go build OK.
  • go test -race -count=3 ./... OK : tests table-driven du parseur, du regroupement, du résumé, de la sévérité, du suivi avec rotation et reprise, et des self-logs (niveau, throttling, file pleine).
  • Syntaxe JS vérifiée avec jsc. Il n'existe pas encore de tests JS dans le dépôt.

🤖 Generated with Claude Code

<!-- ccr-projects-attribution: {"github_login":"vblogio"} --> _Requested by **Cédric**_ Un seul commit (076c01a) au-dessus de main (f3373e1) : la fusion en fast-forward est possible. ## Audit Linux (source_type=audit) - Suit `/var/log/audit/audit.log` (chemin modifiable dans Réglages > Sources, `AUDIT_LOG`), avec un interrupteur. Gère la rotation (la fin de `audit.log.1` est lue avant le nouveau fichier) et enregistre un checkpoint d'offset dans `/data/audit-state.json`. À l'activation, lit la période `AUDIT_BACKFILL` (1h). - Regroupe les enregistrements par `msg=audit(ts:serial)`. Un événement est fermé à l'arrivée d'un EOE, après 2 s sans nouvel enregistrement, ou quand le journal a avancé de 2 s au-delà de lui. - Champs : `audit_type`, `audit_serial`, `auid`, `user` (nom enrichi, `/etc/passwd` de l'hôte, ou uid brut), `exe`, `res`, `key`, `audit_raw`. `app` = `audit_type`. `host` = `node=`, sinon `AUDIT_HOST`, sinon `/host/etc/hostname`, sinon `localhost`. - Résumé au format `qui: quoi [key] → résultat`. Sévérité warning si `res=failed` ou `success=no`, info sinon. Les valeurs hexadécimales sont décodées. ## Logs internes (source_type=logstream) - `logEvent()` couvre : VictoriaLogs injoignable puis de retour, lots perdus, lots du spool refusés, erreurs du listener syslog, API Docker ou flux d'un conteneur décrochés, sources en échec, démarrage et arrêt. `host=logstream`, `app` = composant. - Actif par défaut à partir de warning. Interrupteur et niveau minimal dans Réglages > Sources. - File bornée qui n'attend jamais le Store. Un même événement est émis au plus une fois toutes les 30 s, avec le nombre de répétitions. Une panne du Store ne peut donc pas boucler. ## Interface - Liseré gauche violet (audit) ou turquoise (LS), fond teinté, variantes claire et sombre. - Badge AUDIT ou LS avant l'app. - Ligne brute de l'audit sous le résumé, repliée en mode compact tant que la ligne n'est pas ouverte. - Options Audit et LogStream dans le filtre Source. Traductions FR et EN. ## Tests - `go vet ./...` et `go build` OK. - `go test -race -count=3 ./...` OK : tests table-driven du parseur, du regroupement, du résumé, de la sévérité, du suivi avec rotation et reprise, et des self-logs (niveau, throttling, file pleine). - Syntaxe JS vérifiée avec `jsc`. Il n'existe pas encore de tests JS dans le dépôt. 🤖 Generated with [Claude Code](https://claude.com/claude-code)
claude Bot added 1 commit 2026-10-04 15:03:11 +02:00
Linux audit (auditd) source and LogStream internal logs 076c01aac4 
Audit source (source_type=audit), off until enabled in Settings > Sources:
- follows /var/log/audit/audit.log (path configurable, AUDIT_LOG), with
  rotation (end of audit.log.1 read first) and an offset checkpoint in
  /data/audit-state.json; last AUDIT_BACKFILL (1h) read on first enable
- groups the records of an event by msg=audit(time:serial), closed on EOE,
  after 2 s without a record, or once the log has moved 2 s past it
- fields audit_type, audit_serial, auid, user (enriched name, host
  /etc/passwd or uid), exe, res, key, audit_raw; app = audit_type, host =
  node= / AUDIT_HOST / /host/etc/hostname; summary "who: what [key] →
  result"; warning when res=failed / success=no, info otherwise
- hexadecimal values (proctitle, cmd, exec arguments…) decoded

Internal logs (source_type=logstream, host=logstream, app=component):
- logEvent() for VictoriaLogs unreachable / back, lost batches, spooled
  batches refused, syslog listener errors, Docker API and container
  streams lost, failing sources, start and stop
- on by default from warning; switch and minimum level in Settings >
  Sources (/data/selflog.json)
- bounded queue, never waits for the Store, same event at most once per
  30 s with a count of the repeats: a failing Store cannot loop

UI: violet (audit) and turquoise (LogStream) left edge and tint, AUDIT /
LS badge before the app, raw audit record under the summary (folded in
compact density until the row is opened), Audit and LogStream in the
source filter, FR/EN translations. docker-compose: optional
/var/log/audit, /etc/passwd and /etc/hostname mounts. README (EN/FR):
host prerequisites (log_group, ACL for UID 10001).

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>
cedric closed this pull request 2026-10-04 16:21:19 +02:00

Pull request closed

Please reopen this pull request to perform a merge.
Sign in to join this conversation.
Reviewers
No Reviewers
Labels
No items
No labels
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
cedric (Cédric) claude Bot
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: vLab-BZH/logstream#21