日志服务管理

系统日志管理

什么是系统日志

系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。系统日志包括系统日志、应用程序日志和安全日志。

日志记录的内容

历史事件：时间，地点，人物，事件

日志级别：

DEBUG：详细的信息,通常只出现在诊断问题上
INFO：确认一切按预期运行
WARNING：一个迹象表明,一些意想不到的事情发生了,或表明一些问题在不久的将来(例如。磁盘空间低”)。这个软件还能按预期工作。
ERROR：更严重的问题,软件没能执行一些功能
CRITICAL：一个严重的错误,这表明程序本身可能无法继续运行
这5个等级，也分别对应5种打日志的方法： debug 、info 、warning 、error 、critical。默认的是WARNING，当在WARNING或之上时才被跟踪。

rsyslog系统日志服务

rsyslog是一个linux系统日志服务的工具，主要用来监控收集系统从开机运行之后所发生的所有日志，包括内核日志，服务日志，应用日志等等；记录的日志全部都写到/var/log下面，常用的有dmsg（内核日志）、messages（一般运行日志）、boot.log（系统启动日志）
rsyslog是CentOS 6以后版本的系统管理服务:它提供了高性能，出色的安全性和模块化设计。尽管rsyslog最初是常规的syslogd，但发展成为一种瑞士军刀式的记录工具,能够接受来自各种来源的输入,并将其转换,然后输出到不同的目的地
当应用有限的处理时，RSYSLOG每秒可以将超过一百万的消息传递到本地目的地。即使在远程的目的地和更精细的处理中，性能通常也被认为是惊人的”
[root@localhost / 14:08:44]#cat /etc/rsyslog.conf

文件中，#### RULES ####开始皆为所监控的类型及选择优先级写入监控的log日志当中

下面标红部分，2：监控类型为mail（邮件），级别（all），1：日志写入的路径为/var/log/maillog

在配置文件的末尾，标红被注释掉的部分是如何添加将本地日志如何同步至远端的写入规则
例如：
. @192.168.0.1:514 （使用UDP协议传输至远端日志服务器中）
. @@192.168.0.1:514 （使用TCP协议传输至远端日志服务器中）
. 意思是类型（all），优先级（all）

rsyslog 特性：

多线程
UDP, TCP, SSL, TLS, RELP
MySQL, PGSQL, Oracle实现日志存储
强大的过滤器，可实现过滤记录日志信息中任意部分
自定义输出格式 可以日志
适用于企业级

ELK

ELK：由Elasticsearch, Logstash, Kibana三个软件组成

非关系型分布式数据库基于apache软件基金会jakarta项目组的项目lucene
Elasticsearch是个开源分布式搜索引擎，可以处理大规模日志数据，比如：Nginx、Tomcat、系统日志等功能
Logstash对日志进行收集、分析，过滤，并将其存储供以后使用
Kibana 可以提供的日志分析友好的 Web 界面

rsyslog管理

系统日志术语

facility：设施，从功能或程序上对日志进行归类
Priority 优先级别，从低到高排序
（priority）是一种约定，优先级高的先做，优先级低的后做。优先级是计算机分时操作系统在处理多个作业程序时，决定各个作业程序接受系统资源的优先等级的参数。
debug, info, notice, warn(warning), err(error), crit(critical), alert, emerg(panic)
参看帮助： man 3 syslog，man logger
[root@centos8 ~]#man 3 syslog

基本维护

安装：
一般主流linux系统都自带rsyslog，不过可能版本比较旧或者特性不够，可通过如下方式安装或更新
[root@localhost / 15:24:26]#cd /etc/yum.repos.d/
[root@localhost /etc/yum.repos.d 15:24:50]#