日志文件管理

一、常见的一些日志文件

日志文件位置	日志文件说明
/var/log/messages内核和公共日志	它是核心系统日志文件，其中包含了系统启动时的引导信息，以及系统运行时的其他状态消息。I/O 错误、网络错误和其他系统错误都会记录到此文件中。其他信息，比如某个人的身份切换为 root，已及用户自定义安装软件的日志，也会在这里列出。
/var/log/cron 计划任务日志	记录与系统定时任务相关的曰志
/var/log/dmesg 系统引导日志	记录了系统在开机时内核自检的信息，也可以使用dmesg命令直接查看内核自检信息
/var/log/maillog 邮件日志	记录邮件信息的曰志
用户日志
/var/log/lastlog	记录系统中所有用户最后一次的登录时间的曰志。这个文件也是二进制文件.不能直接用Vi 查看。而要使用lastlog命令查看
/var/log/secure	记录验证和授权方面的倍息，只要涉及账户和密码的程序都会记录，比如系统的登录、ssh的登录、su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中
/var/log/wtmp	永久记录所有用户的登陆、注销信息，同时记录系统的启动、重启、关机事件。同样，这个文件也是二进制文件.不能直接用Vi查看，而要使用last命令查看
/var/tun/ulmp	记录当前已经登录的用户的信息。这个文件会随着用户的登录和注销而不断变化，只记录当前登录用户的信息。同样，这个文件不能直接用Vi查看，而要使用w、who、users等命令查看

日志文件的格式：

日志文件的格式包含以下 4 列：

• 事件产生的时间。

• 产生事件的服务器的主机名。

• 产生事件的服务名或程序名。

• 事件的具体信息。

日志中信息的优先级别重要程度

在 Linux 内核中，根据日志消息的重要程度不同，将其分为不同 的优先级别（数字等级越小，优先级越高，消息越重要）

0	EMERG（紧急）	会导致主机系统不可用的情况
1	ALERT（警告）	必须马上采取措施解决的问题
2	CRIT（严重）	比较严重的情况
3	ERR（错误）	运行出现错误
4	WARNING（提醒）	可能影响系统功能，需要提醒用户的重要事件
5	NOTICE（注意）	不会影响正常功能，但是需要注意的事件
5	INFO（信息）	一般信息
7	DEBUG（调试	程序或系统调试信息等

二、用户日志

在 wtmp、btmp、lastlog 等日志文件中，保存了系统用户登录、退出等相关的事件消息。

但是这些文件都是二进制的数据文件，不能直接使用 tail、less 等文本查看工具进行浏览，

需要使用 who、w、users、last 和 lastb 等用户查询命令来获取日志信息

查询当前登录的用户情况

users ：

users命令只是简单的输出当前登录用户名称。每个用户名对应一个登录会话。如果一个用户有不止一个登录会话，那他的用户名将显示与其相同的次数

who：

who命令用于报告当前登录到系统中的每个用户的信息。使用该命令，系统管理员可

以查看当前系统存在哪些不合法用户，从而对其进行审计和处理。who 的默认输出包括用

户名、终端类型、登录日期及远程主机

w：

w 命令用于显示当前系统中的每个用户及其所运行的进程信息，比 users、who 命令的 输出内容要丰富一些

第二行信息包括如下字段说明:

• USER – 登录用户名.
• TTY – 登录用户使用的终端名.
• FROM –登录用户来源的主机名或IP地址.
• LOGIN@ – 用户登录时长.
• IDLE – 自用户上一次与终端进行交互以来的空闲时间.
• JCPU – 附加到tty的所有进程使用的时间.
• PCPU –用户当前进程所用的时间。 显示在“ WHAT”字段中的那个.
• WHAT – 用户当前的进程及选项/参数。

查询用户登录的历史纪录

last

last 命令用于查询成功登录到系统的用户记录，

最近的登录情况将显示在最前面。通过 last 命令可以及时掌握 Linux 主机的登录情况，若发现未经授权的用户登录过，则表示当前 主机可能已被入侵。

lastb

lastb 命令用于查询登录失败的用户记录，

如登录的用户名错误、密码不正确等情况都 将记录在案。登录失败的情况属于安全事件，因为这表示可能有人在尝试猜解你的密码。除 了使用 lastb 命令查看以外，也可以直接从安全日志文件/var/log/secure 中获得相关信息。

实际操作  将ssh服务的日志单独设置

1.进入rsyslog配置文件，添加自己的文件位置

2.进入ssh配置文件，将ssh配置成使用local6

3.重启服务 关闭防火墙

这样就可以在/data 下看见ssh服务的日志了

四.实操：通过网络将本地的日志远程备份到另一台机器

第一步将2台服务器的防火墙以及selinux防护关闭

第二步将两台机器端口号开启

第三步 设置客户机将数据传给服务器

第四步重启服务 并查询端口号是否开启

5.测试使用logger写入一条测试日志

收到信息就代表实验成功了