Graylog (heute Graylog Open) ist eine Plattform zur zentralen Erfassung, Normalisierung und Auswertung von Logdaten. Statt sich auf jedem Server einzeln per SSH anzumelden, schicken alle Systeme ihre Meldungen an Graylog; dort stehen sie durchsuchbar, mit Rechten, Alarmen und Aufbewahrungsfristen bereit.
Architektur
Graylog besteht aus drei Teilen:
- Graylog Server (Java) – nimmt Meldungen entgegen, verarbeitet sie über Streams und Pipelines und stellt die Weboberfläche bereit.
- Suchindex – traditionell Elasticsearch, in aktuellen Versionen auch OpenSearch. Er hält die Meldungen und macht sie durchsuchbar.
- MongoDB – speichert Konfiguration, Benutzer und Metadaten, nicht die Logs selbst.
Eingänge und Formate
Graylog bringt fertige Inputs mit:
- Syslog UDP/TCP 514 für Router, Switches und Linux – siehe Syslog
- GELF (Graylog Extended Log Format) UDP/TCP 12201 für Anwendungen, die strukturierte Felder senden wollen
- Beats auf Port 5044 für Filebeat-Clients
- HTTP für eigene Sender
Strukturierte Felder sind der entscheidende Vorteil gegenüber reinen Textdateien: Ein Logeintrag enthält dann nicht nur eine Zeile Text, sondern Werte wie source, user, status_code oder response_ms. Darauf lassen sich Filter, Statistiken und Alarme bauen.
Pipelines, Streams und Suche
Pipelines verarbeiten eingehende Meldungen per Regelwerk: Felder extrahieren, Meldungen umbenennen, fremde Einträge verwerfen, Nachrichten anreichern. Streams leiten Meldungen in getrennte Kanäle mit eigenen Rechten und Aufbewahrungszeiten – etwa „Firewall“, „Anwendungen“ und „Security“. Die Suche verwendet eine einfache Syntax wie source:web01 AND level:ERROR mit Zeitraumwahl und Feldstatistiken.
Betriebliches
Graylog ist vergleichsweise schnell eingerichtet, bringt aber den Suchindex als schwergewichtige Abhängigkeit mit: Elasticsearch/OpenSearch braucht RAM und Speicherplatz. Typisch sind getrennte Rollen auf eigenen Maschinen und der Betrieb hinter einem Reverse-Proxy mit TLS. Für die Alarmierung aus Graylog heraus lassen sich Bedingungen definieren, die etwa per Webhook an einen Alertmanager oder ein Ticketsystem melden. Zentrale Loghaltung ist außerdem die Voraussetzung für Nachvollziehbarkeit im Sinne der Logging-Praxis und für die Auswertung im SIEM.
Verwandte Grundlagen: Logging, Syslog, Fluent Bit, Observability.