Проблема

Не работает отправка событий аудита на сервер.

Диагностика

  • Проверить журналы syslog-ng на стороне источника аудита:
    sudo journalctl -u syslog-ng
    CODE
    Убедиться, что присутствуют сообщения вида:
    message(s) suppressed due to rate-limiting
    CODE
  • Проверить текущие параметры очередей syslog-ng в конфигурации:
    sudo syslog-ng --version grep -R "log-fifo-size\|log-iw-size" /etc/syslog-ng/
    CODE
    Убедиться, что поток событий аудита интенсивный и превышает пропускную способность стандартных настроек syslog-ng.

Возможная причина: Превышение пропускной способности очередей syslog-ng. Перейти к решению.

Возможные причины