Systemprotokoll

Der Check Systemprotokoll durchsucht das Systemprotokoll nach Einträgen ab einer bestimmten Prioritätsstufe und warnt, wenn die Anzahl einen Schwellenwert erreicht oder überschreitet. So erkennst du Fehler und Warnungen in den Systemlogs, die auf Probleme hindeuten. Der Check läuft unter Linux (systemd-journald, journalctl) und macOS (Unified Logging, log show) standardmäßig alle 15 Minuten. Für Windows verwende stattdessen den Ereignisprotokoll-Check.

Voraussetzungen

• Du benötigst die Berechtigung Monitoring-Check-Verwaltung. Dein Administrator vergibt Berechtigungen unter Administration → Gruppen.
• Das Zielgerät muss einen verbundenen Agent unter Linux oder macOS haben.
• Unter Linux benötigt der Check journalctl (systemd-journald).

Schritte

1. Gehe zu Geräte und öffne das Gerät.
2. Klicke auf den Tab Checks → Check hinzufügen → Systemprotokoll.
3. Konfiguriere Rückblickzeitraum (Minuten), Max. Einträge, Mindestpriorität sowie unter Schwellenwerte den Warnung-Schwellenwert und den Kritisch-Schwellenwert.
4. Optional: Füge unter Ausschlussmuster (im Abschnitt Filter) Muster hinzu, um bekannte harmlose Meldungen zu ignorieren.
5. Klicke auf Check hinzufügen.

Nach dem ersten Check-Intervall siehst du das Ergebnis im Tab Checks des Geräts.

Einstellungen

• Setze den Rückblickzeitraum so, dass er dem Check-Intervall entspricht oder es überschreitet, damit keine Einträge zwischen den Ausführungen verpasst werden. Das Check-Intervall wird in der Check-Definition gesetzt (nicht im Editor); Standard sind 15 Minuten.
• Wird der Warnung-Schwellenwert höher als der Kritisch-Schwellenwert gesetzt, werden die beiden Werte zur Laufzeit stillschweigend vertauscht, sodass Warnung ≤ Kritisch gilt.
• Max. Einträge begrenzt den Abruf, daher übersteigt „Fehler gesamt“ diesen Wert nie. Halte den Kritisch-Schwellenwert auf oder unter Max. Einträge — ein höherer Kritisch-Schwellenwert wird nie erreicht.
• Ausschlussmuster werden (Teilstring-Abgleich, Groß-/Kleinschreibung ignoriert) nur gegen die Eintragsnachricht abgeglichen — nicht gegen die Quelle. Sie greifen erst nach dem Abruf: Ausgeschlossene Einträge belegen also trotzdem Plätze von Max. Einträge und können weitere Einträge verdrängen.

Mindestpriorität

Der Editor stellt eine Teilmenge der Syslog-Prioritätsstufen zur Auswahl:

macOS kennt keine direkte Entsprechung der Syslog-Prioritäten. Mindestpriorität 0 oder 2 erfasst Fault-Meldungen, 3 erfasst Error-Meldungen, 4 erfasst Error- und Fault-Meldungen.

Ergebnisse

Der Check meldet eine Warnung bzw. ein kritisches Ergebnis, sobald die Anzahl übereinstimmender Einträge („Fehler gesamt“) den Warnung-Schwellenwert bzw. den Kritisch-Schwellenwert erreicht oder überschreitet. Ist journalctl unter Linux nicht verfügbar, liefert der Check das Ergebnis „Fehlgeschlagen“ — es gibt keinen Fallback auf /var/log/syslog.

Tipps

• Die Standardpriorität 3 (Fehler) ist ein guter Ausgangspunkt. Senke sie auf 4 (Warnung), wenn du auch Warnungen erfassen möchtest.
• Verwende Ausschlussmuster, um häufige, bekannte Meldungen herauszufiltern, die keine Aktion erfordern.