初识CentOS 7日志文件

一、日志文件

日志文件是用于记录 Linux 操作系统中各种运行消息的文件，相当于 Linux 主机的“日记”。不同的日志文件记载了不同类型的信息。日志文件对于诊断和解决系统中的问题很有帮助，因为在 Linux 操作系统中运行的程序通常会把系统消息和错误消息写入相应的日志文件，这样系统一旦出现问题就会“有据可查”。此外，当主机遭到***时，日志文件还可以帮助寻找***者留下的痕迹。
1、主要日志文件
Linux 系统的日志文件都默认放在目录/var/log/下。

对于 Linux 操作系统中的日志文件，有必要了解其各自的用途，这样才能在需要的时候更快地找到问题所在，及时解决各种故障。如下图是常见的一些日志文件。

(1)/var/log/messages：记录 Linux 内核消息及各种应用程序的公共日志信息，包括启动、I/0 错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息。
(2)/var/log/cron：记录 crond 计划任务产生的事件信息。
(3)/var/log/dmesg：记录 Linux 操作系统在引导过程中的各种事件信息。
(4)/var/log/maillog：记录进入或发出系统的电子邮件活动。
(5)/var/log/lastlog：记录每个用户最近的登录事件。
(6)/var/log/secure：记录用户认证相关的安全事件信息。
(7)/var/log/wtmp：记录每个用户登录、注销及系统启动和停机事件。
(8)/var/log/btmp：记录失败的、错误的登录尝试及验证事件。

二、日志文件分析

1、内核及系统日志文件

内核及系统日志功能主要由默认安装的rsyslog-7.4.7-16.el7.x86_64.rpm 软件包提 供。rsyslog 服务所使用的配置文件为/etc/rsyslog.conf，其主要程序为/sbin/rsyslogd。
日志消息的级别：
在 Linux 内核中，根据日志消息的重要程度不同，将其分为不同的优先级别（数字等级越小，优先级越高，消息越重要）。

对于 rsyslog 服务统一管理的大部分日志文件，使用的日志记录格式基本上是相同的。以公共日志/var/log/messages 文件的记录格式为例，其中每一行表示一条日志消息，每一条消息均包括以下四个字段。

2、用户日志文件
在 wtmp、btmp、lastlog 等日志文件中，保存了系统用户登录、退出等相关的事件消息。但是这些文件都是二进制的数据文件，不能直接使用 tail、less 等文本查看工具进行浏览，需要使用 who、w、users、last 和 lastb 等用户查询命令来获取日志信息。

（1）使用who命令报告当前登录到系统中的每个用户的信息。

(2)使用users命令简单地输出当前登录的用户名称，每个显示的用户名对应一个登录会话。

（3）使用last命令查询成功登录到系统的用户记录，最近的登录情况将显示在最前面。

（4）使用lastb命令查询登录失败的用户记录，如登录的用户名错误、密码不正确等情况都将记录在案。

登录失败的情况属于安全事件，因为这表示可能有人在尝试猜解你的密码。
3、程序日志文件
在 Linux 操作系统中，还有相当一部分应用程序没有使用 rsyslog 服务来管理日志，而是由程序自己维护日志记录。例如，httpd 网站服务程序使用两个日志文件 access_log 和 error_log 分别记录客户访问事件和错误事件。

总的来说，作为一名合格的系统管理人员，应该提高警惕，随时注意各种可疑状况，定期并随机检查各种系统日志文件，包括一般信息日志、网络连接日志、文件传输日志及用户登录日志记录等。在检查这些日志时，要注意是否有不合常理的时间或操作记录。