.werks/7085

   1 Title: Fixed parsing of special syslog messages which don't contain a host name
   2 Level: 1
   3 Component: ec
   4 Compatible: incomp
   5 Edition: cre
   6 Version: 1.6.0i1
   7 Date: 1550050614
   8 Class: fix
   9
  10 The Event Console is now able to process syslog messages that don't contain the
  11 host name field. An example for such a message is this one:
  12
  13 C+:
  14 Feb 13 08:41:07 pfsp: The configuration was changed on leader blatldc1-xxx to version 1.1366 by blatldc1-xxx/admin at 2019-02-13 09:41:02 CET</tt>
  15 C-:
  16
  17 In previous versions messages like this resulted in log messages like this in
  18 the event console log (var/log/mkeventd.log):
  19
  20 C+:
  21 2019-02-13 09:41:07,338 [40] [cmk.mkeventd.EventServer] Got non-syslog message "Feb 13 08:41:07 pfsp: The configuration was changed on leader blatldc1-xxx to version 1.1366 by blatldc1-xxx/admin at 2019-02-13 09:41:02 CET" (need more than 1 value to unpack)
  22 Traceback (most recent call last):
  23   File "/omd/sites/ggmcmpp1/lib/python/cmk/ec/main.py", line 2916, in create_event_from_line
  24     event.update(self.parse_syslog_info(rest))
  25   File "/omd/sites/ggmcmpp1/lib/python/cmk/ec/main.py", line 2667, in parse_syslog_info
  26     tag, message = line.split(": ", 1)
  27 ValueError: need more than 1 value to unpack
  28 2019-02-13 09:41:07,338 [20] [cmk.mkeventd.EventServer] Parsed message:
  29  application:
  30  core_host:
  31  facility:       1
  32  host:
  33  host_in_downtime: False
  34  ipaddress:      1.23.45.67
  35  pid:            0
  36  priority:       0
  37  text:           Feb 13 08:41:07 pfsp: The configuration was changed on leader blatldc1-xxx to version 1.1366 by blatldc1-xxx/admin at 2019-02-13 09:41
  38 :02 CET
  39  time:           1550047267.34
  40 C-:
  41
  42 A fallback event was created that had no syslog fields set and contained the
  43 whole unparsed syslog message in the text field.  If you have EC rules matching
  44 on this fallback event, you will have to change these rules to match the parsed
  45 event fields.
  46
  47 Now that the parsing has been added, events created by such a syslog message now
  48 have the fields set as follows for our example:
  49
  50 C+:
  51 application: pfsp
  52 core_host:
  53 facility: 1
  54 host: 127.0.0.1
  55 host_in_downtime: False
  56 ipaddress: 127.0.0.1'
  57 pid: 0
  58 priority: 5
  59 text: The configuration was changed on leader blatldc1-xxx to version 1.1366 by blatldc1-xxx/admin at 2019-02-13 09:41:02 CET
  60 time: 1550043667.0
  61 C-:
  62
  63 Please note that the EC uses the sender IP addresse of the syslog message to populate the host field.
  64