linux日志分析

       大部分linux发行版默认的日志守护进程为 syslog，位于 /etc/syslog 或 /etc/syslogd 或/etc/rsyslog.d，默认配置文件为 /etc/syslog.conf 或 rsyslog.conf，任何希望生成日志的程序都可以向 syslog 发送信息。linux系统内核和许多程序会产生各种错误信息、警告信息和其他的提示信息，这些信息对管理员了解系统的运行状态是非常有用的，所以应该把它们写到日志文件中去。完成这个过程的程序就是syslog。syslog可以根据日志的类别和优先级将日志保存到不同的文件中。         例如，为了方便查阅，可以把内核信息与其他信息分开，单独保存到一个独立的日志文件中。默认配置下，日志文件通常都保存在“/var/log”目录下。

一、常用的日志文件

常用系统日志文件：

路径	说明
/var/log/messages	记录 Linux 内核消息及各种应用程序的公共日志信息
/var/log/cron	记录 crond 计划任务产生的事件信息
/var/log/dmesg	记录 Linux 操作系统在引导过程中的各种事件信息
/var/log/maillog	记录进入或发出系统的电子邮件活动
/var/log/boot.log	系统启动时的日志，包括自启动的服务
/var/log/yum.log	包含使用yum安装软件包的信息
/var/log/audit目录	包含audit daemon的审计日志。例如：selinux开启的时候，这里就会有关于selinux审计的日志
/var/log/sa/ 目录	包含每日由sysstat软件包收集的sar文件

常用用户日志文件：

路径	说明
/var/log/lastlog	记录每个用户最近的登录事件
/var/log/secure	记录用户认证相关的安全事件信息
/var/log/wtmp	记录每个用户登录、注销及系统启动和停机事件，加密文件
/var/log/btmp	记录失败的、错误的登录尝试及验证事件，加密文件

二、日志文件的格式

日志文件的格式包含以下 4 列：

• 事件产生的时间。

• 产生事件的服务器的主机名。

• 产生事件的服务名或程序名。

• 事件的具体信息。

三、将ssh服务日志单独存放

先在/var/log里创建个sshd.log文件

输入vim /etc/rstslog.conf打开配置文件，输入set nu显示编号，在74行下面添加一行规则：

再输入vim /etc/ssh/sshd_config打开ssh服务的配置文件，在32行下面新添加一条参数，完成后wq保存，之后一定要重启服务，命令systemctl restart {rsyslog,sshd}：

打开另一台机器，连接第一台机器：

返回第一台机器，在sshd服务的日志里记录了刚才机器的连接失败与成功，且所有ssh日志都保存在了sshd.log中

 

四、远程日志

输入vim /etc/rsyslog.conf，找到54行，在下方添加以下内容：

 返回接收日志的机器，输入vim /etc/rsyslog.conf，找到14-20行：

 完成后两台机器都需要重启服务