<div dir="ltr">Thanks Robert. I figured as much. I am going to look at some intermediary that can transform binary to base64 and then stream to syslog.<div><br></div><div><br></div></div><div class="gmail_extra"><br><br><div class="gmail_quote">
On Tue, May 21, 2013 at 11:48 AM, Fekete Róbert <span dir="ltr">&lt;<a href="mailto:frobert@balabit.hu" target="_blank">frobert@balabit.hu</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<div class="im"><br>
On Saturday, May 18, 2013 02:35 CEST, Xuri Nagarin &lt;<a href="mailto:secsubs@gmail.com">secsubs@gmail.com</a>&gt; wrote:<br>
<br>
&gt; Hi,<br>
&gt;<br>
&gt; My log source sends data over syslog in CEF (Arcsight format).<br>
&gt;<br>
&gt; I have a simple parser written in Syslog-NG that takes advantage of the CEF<br>
&gt; format (that is all messages are in eight fields separated by a pipe char).<br>
&gt; -----------xxxxxxxxxxxxxxxxx-------------------<br>
&gt;<br>
&gt; parser p_cef {<br>
&gt;<br>
&gt; csv-parser(columns(&quot;cef.ff&quot;,&quot;cef.vendor&quot;,&quot;cef.product&quot;,&quot;cef.c4&quot;,&quot;cef.c5&quot;,&quot;cef.c6&quot;,&quot;cef.c7&quot;,&quot;cef.c8&quot;)<br>
&gt;     delimiters(&quot;|&quot;)<br>
&gt;     flags(drop-invalid)<br>
&gt;     );<br>
&gt; };<br>
&gt;<br>
&gt; destination d_file {<br>
&gt; file(&quot;/var/log/net/${cef.vendor}/${cef.product}/logfile&quot;); };<br>
&gt;<br>
&gt; log { source(s_tcp); parser(p_cef); destination(d_file);  };<br>
&gt; -----------xxxxxxxxxxxxxxxxx-------------------<br>
&gt;<br>
&gt; Some events coming in contain binary data that get translated into control<br>
&gt; characters and create thousands of directories with garbage in the names.<br>
&gt;<br>
&gt; How do I handle binary data in the message? Should I use the sanitize<br>
&gt; function in the destination/file definition or is there a better way to do<br>
&gt; it?<br>
&gt;<br>
<br>
</div>Hi, I currently do not know about any way to handle binary data within a messages.<br>
<div class="im"><br>
&gt; Also, how do I create a catch-all destination for all the messages that do<br>
&gt; not match my parser?<br>
<br>
</div>Create a log statement that uses the flags(catchall) option.<br>
<br>
Regards,<br>
<br>
Robert<br>
<br>
&gt;<br>
&gt; Thanks!<br>
<br>
<br>
<br>
<br>
<br>
<br>
______________________________________________________________________________<br>
Member info: <a href="https://lists.balabit.hu/mailman/listinfo/syslog-ng" target="_blank">https://lists.balabit.hu/mailman/listinfo/syslog-ng</a><br>
Documentation: <a href="http://www.balabit.com/support/documentation/?product=syslog-ng" target="_blank">http://www.balabit.com/support/documentation/?product=syslog-ng</a><br>
FAQ: <a href="http://www.balabit.com/wiki/syslog-ng-faq" target="_blank">http://www.balabit.com/wiki/syslog-ng-faq</a><br>
<br>
</blockquote></div><br></div>