用途：该技能让 NetClaw 通过 UDP 接收网络设备（路由器、交换机、防火墙）发来的 syslog 消息，并对已收集数据进行查询，用于实时监控设备事件、调查事故、聚合多设备日志、按条件过滤消息以及分析网络错误模式。支持 RFC 5424（现代）和 RFC 3164（BSD/Cisco）两种 syslog 格式。
主要能力与工具：依赖 syslog-mcp 服务器。可用工具包括：syslog_start_receiver（开始监听）、syslog_stop_receiver（停止接收）、syslog_get_status（查看状态与统计）、syslog_query（带过滤条件搜索消息）、syslog_get_message（获取单条消息完整详情）、syslog_get_severity_counts（按严重级别统计数量）。
使用方式：先启动接收器，例如指定端口 10514，再将网络设备配置为向该端口发送 syslog，然后用状态工具确认消息已收到。查询时可用 severity_max=3 找出 ERROR 及以上级别，可按 hostname 或 source_ip 过滤设备，用 message_contains 搜索关键词，并用详情工具查看具体条目。日常汇总可先取严重级别分布，再查询高严重级别消息。
配置：syslog-mcp 通过环境变量配置，包括 SYSLOG_PORT（UDP 监听端口，默认 514）、SYSLOG_BIND_ADDRESS（绑定地址，默认 0.0.0.0）、SYSLOG_RETENTION_HOURS（保留时长，默认 24）、SYSLOG_RATE_LIMIT（每秒最大消息数，默认 1000）、SYSLOG_DEDUP_WINDOW（去重窗口秒数，默认 5）。
限制：仅内存存储，重启即丢失数据；每个端口仅支持单实例；无持久化存储或导出；仅支持 UDP，不支持 TCP syslog。相关技能包括 snmptrap-receiver、ipfix-receiver、gnmi-telemetry。工具出错时应直接报告失败及错误信息，不编造或猜测结果；只读调用可检查连通性并重试一次，而改变状态或发送消息的调用在超时后不能视为失败，需先检查当前状态或送达情况再决定是否重试，且不得重复执行结果未知的操作。