连接时间的日志
连接时间日志一般由/var/log/wtmp和/var/run/utmp这两个文件记录，通过who查看
who /var/log/wtmp 【连接时间日志】 who /var/log/utmp 【连接时间日志】 ac -p //查看每个用户的连接时间 ac -a //查看所有用户的连接时间 ac -d //查看用户每天的连接时间
系统和服务日志
系统日志服务是由名为syslog的服务管理的，以下日志文件都由syslog日志服务驱动的：
/var/log/lastlog ：记录最后一次用户成功登陆的时间、登陆IP等信息
/var/log/messages ：记录Linux操作系统常见的系统和服务错误信息
/var/log/secure ：系统安全日志，记录用户和工作组变坏、用户登陆认证情况
/var/log/btmp【last】：记录Linux登陆失败的用户、时间以及远程IP地址
/var/log/cron ：记录crond计划任务服务执行情况
进程监控日志
进程统计监控日志在监控用户的操作指令是非常有效的。当服务器最近发现经常无故关机或者无故被人删除文件等现象时，可以通过使用进程统计日志查看
[root@server ~]# accton /var/account/pacct //开启进程统计日志监控 [root@server ~]# lastcomm [root@server ~]# accton //关闭进程统计日志监控
RedHat6日志服务介绍
在Linux系统，大部分日志都是由syslog日志服务驱动和管理的，syslog服务由两个重要的配置文件控制管理，
CentOS 6及其以上: /etc/rsyslog.conf主配置文件
/etc/init.d/rsyslog是启动脚本
注意：CentOS 6之前版本是：/etc/syslog.conf. 和 /etc/sysconfig/syslog辅助
[root@server rsyslog.d]# grep -v '#' /etc/rsyslog.conf |grep -v '^$'
消息类型：auth,authpriv,security;cron,daemon,kern,lpr,mail, mark,news,syslog, user,uucp,local0~local7
错误级别：(8级)debug,info,notice,warning|warn;err|error;crit,alert,emerg|panic
动作域： file,user,console,@remote_ip
vim /etc/ rsyslog.conf文件
*.info;mail.none;authpriv.none;cron.none /var/log/messages 表示info级别的任何消息都发送到/var/log/messages日志文件，但邮件系统、验证系统 和计划任务的错误级别信息就除外，不发送（none表示禁止） cron.* /var/log/cron 表示所有级别的cron信息发到/var/log/cron文件 *.emerg * 表示emerg错误级别（危险）的所有消息发给所有用户