LINUX学习日记（十一）：日志管理

一、基本介绍

1、日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括用户的登录信息、启动信息、安全信息、邮件相关信息、各种服务相关信息等

2、日志对于安全来说也很重要，它记录了系统每天发生的各种事情，通过日志来检查错误发生的愿意你，或者受到攻击时攻击者留下的痕迹。
3、可以这样理解，日志是用来记录重大事件的工具

二、系统常用日志

ls /var/log/

清空secure文件：
echo ’ ’ > secure

另一个窗口登录tom,输入两次错误密码，一次正确密码

三、日志管理服务 rsyslogd

centos7.6日志服务是rsyslogd,centos6.X是syslogd,rsyslogd功能更强大，它的使用、日志文件的格式，和syslogd服务兼容。
（1）查询LINUX中的rsyslogd服务是否启动
ps aus | grep “rsyslogd” | grep -v “grep”

注：grep -v ”XX" 反向过滤，找不含XX的行

（2）查询rsyslogd服务的自启动状态
systemctl list-unit-files | grep rsyslog

（3）配置文件 ：/estc/rsyslog.conf

(4)案例

单用>：表示将空写入文件

（5）日志轮替

日志轮替之所以可以再指定的时间备份日志，是依赖系统定时任务，在/etc/cron.daily/目录，就会发现这个目录中是由logrotate文件（可执行），logrotate通过这个文件依赖定时任务执行。

说明：也可以把某个日志文件的轮替规则，写到/etclogrotate.d目录，

(6)自定义日志管理

（7）内存日志
每次重启后内存日志会清空
journalctl 可以查看内存日志，
journalctl ##查看全部
journalctl -n 3 ##查看最新3条
journalctl --since 19:00 --until 19:10:10 ##查看起始时间到结束时间的日志可加日期
journalctl -p err ##报错日志
journalctl -o verbose ##日志详细内容
journalctl_PID=1245 _COMM=sshd ##查看包含这些参数的日志（在详细日志里查看）
journalctl | grep sshd