RFC 5424 Syslog 메시지 형식과 전송 계층 구분

RFC 5424는 syslog 메시지의 형식을 정의하며 특정 네트워크 전송을 강제하지 않습니다. 메시지는 PRI, VERSION, TIMESTAMP, HOSTNAME, APP-NAME, PROCID, MSGID, STRUCTURED-DATA 및 선택적 MSG 순서입니다. -는 일부 필드의 값이 없음을 나타내는 NILVALUE입니다. PRI는 facility와 severity를 묶은 값이며, 시간은 타임존 오프셋과 소수 초를 표현할 수 있지만 “항상 밀리초 정밀도”를 보장하지 않습니다. 실제 시계가 정확하다는 보증도 아닙니다. 수신자가 신뢰도 정보를 필요로 하면 선택적 timeQuality structured-data를 사용할 수 있습니다.

전문가 관점: RFC 저자 겸 구현자의 구조화 데이터 분석

RFC 5424 저자이며 syslog 구현자인 Rainer Gerhards는 별도 기술 분석에서 structured data가 구문과 이름·값 쌍을 제공하지만, 해당 요소가 무엇을 의미하는지에 대한 일반 데이터 모델까지 정하지는 않는다고 설명합니다. 이 구분이 중요합니다. [exampleSDID@32473 userId="..."]를 넣어도 소비자들이 그 필드의 의미를 자동으로 공유하는 것은 아닙니다. SD-ID와 파라미터 명명, 버전 관리, 개인 정보 취급, 파서 호환성을 송수신 조직 간에 합의해야 합니다. RFC에 포함된 timeQuality 같은 초기 요소도 선택 사항입니다.

TLS와 전송 신뢰성은 별도 규격·설정

RFC 5425는 TLS 전송 매핑을 정의해 서버 인증과 구간 암호화·무결성을 제공하도록 합니다. 그러나 RFC 5424 메시지 형식 자체가 TLS를 켜거나 로그 손실을 방지하지 않습니다. TLS/TCP는 전송 세션 안에서 바이트를 안정적으로 전달하려 하지만, 연결이 끊기기 전 송신 애플리케이션의 큐잉·재전송·저장 동작까지 보장하지 않습니다. TLS 적용 시 인증서 검증, 신뢰 체인, 상호 인증 필요 여부를 운영 정책에 맞춰야 합니다. UDP syslog는 전달 확인이나 재전송 기능이 없으므로 손실 가능성이 다릅니다.

프레이밍·파싱·운영 실무

RFC 5424는 메시지 문법과 필드 해석을 다루며 스트림 전송의 프레이밍은 운반 계층과 연관된 별도 문제입니다. TLS 매핑은 octet-counting 방식으로 메시지 경계를 구분합니다. 구현은 크기 제한, 다중 메시지 연결, 잘못된 UTF-8 및 malformed structured-data 처리를 명확히 해야 합니다. structured data가 기계 판독이 쉽더라도 MSG는 자유 형식일 수 있고 수신 시스템마다 보존·변환 방식이 다를 수 있습니다. 로그 수집 파이프라인에서 원문 보존 여부, 시간대·시계 오차, 필드 정규화, 전송 단절 시 큐 용량과 드롭 지표를 확인하세요.

참고 자료