目录标题
日志的功能
- 用于记录系统、程序运行中发生的各种事件
- 通过阅读日志,有助于诊断和解决系统故障
日志文件的分类
- 内核及系统日志
- 由系统服务rsyslog统一进行管理,日志格式基本相似
- 主配置文件/etc/rsyslog.conf
- 用户日志
- 记录系统用户登录及退出系统的相关信息
- 程序日志
- 由各种应用程序独立管理的日志文件,记录格式不统一
系统日志保存位置
- 默认位于:/var/log目录下
主要日志文件介绍
内核及公共消息日志 | /var/log/messages | 记录Linux内核消息及各种应用程序的公共日志信息,包括启动、IO错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务,一般都可以从该日志中获得相关的事件记录信息 |
---|---|---|
计划任务日志 | /var/log/cron | 记录crond计划任务产生的事件信息 |
系统引导日志 | /var/log/dmesg | 记录Linux系统在引导过程中的各种事件信息 |
邮件系统日志 | /var/log/maillog | 记录进入或发出系统的电子邮件活动 |
用户登录日志 | /var/log/lastlog /var/log/secure /var/log/wtmp /var/run/btmp |
记录用户认证相关的安全事件信息 记录每个用户最近的登录事件。二进制格式 记录每个用户登录、注销及系统启动和停机事件。二进制格式 记录失败的、错误的登录尝试及严重事件。二进制格式 |
查看主配置文件/etc/rsyslog.conf
- vim /etc/rsyslog.conf #查看rsyslog.conf配置文件
- *.info;mail.none;authpriv.none;cron.none /var/log/messages
- *.info #表示info等级以上的所有等级的信息都写到对应的日志文件里
- mail.none #表示某事件的信息不写到messages日志文件里(这里比如是邮件)
内核日志消息的级别
- Linux系统内核日志消息的优先级别(数字等级越小,优先级越高,消息越重要)
- 0 EMERG(紧急):会导致主机系统不可以的情况
- 1 ALERT(警告):必须马上采取措施解决问题
- 2 CRIT(严重):比较严重的情况
- 3 ERR(错误):运行出现错误
- 4 WARNING(提醒):可能影响系统功能,需要提醒用户的重要事件
- 5 NOTICE(注意):不会影响正常功能,但是需要注意的时间
- 6 INFO(信息):一般信息
- 7 DEBUG(调试):程序或系统调试信息等
由系统服务rsyslog统一管理
- 软件包:rsyslog-7.4.7-16.el7.x86_64
- 主要程序:/sbin/rsyslogd
- 配置文件:/etc/rsyslog.conf
日志记录的一般格式
-
vim /var/log/messages
-
-
举例
-
Jun 3 13:26:35 localhost vmusr[2439]:[critical] [GLib-GObject]
- Jun 3 13:26:35 时间标签
- localhost 主机名
- vmusr[2439]: 子系统名
- [critical] [GLib-GObject] 消息字段
用户日志分析
-
分析工具
-
users
-
who或w
-
last:查询成功登录到系统的用户记录
-
lastb:查询登录失败的用户记录
程序日志分析
-
由相应的应用程序独立进行管理
-
web服务:/var/log/httpd
- access_log //记录客户访问事件
- error_log //记录错误事件
-
代理服务: /var/log/squid
- access.log、cache.log
-
分析工具
-
文本查看、grep过滤检索、Webmin管理套件中查看
-
awk、sed等文本过滤、格式化编辑工具
-
Webalizer、Awstats等专用日志分析工具
日志管理策略
-
及时作好备份和归档
-
延长日志保存期限
-
控制日志访问权限
-
日志中可能会包含各类敏感信息,如账户、口令等
-
集中管理日志
-
将服务器的日志文件发到统一的日志文件服务器
-
便于日志信息的统一收集、整理和分析
-
杜绝日志信息的意外丢失、恶意篡改或删除