Linux日志分析与安全

**

在Linux系统中，有三个主要的日志子系统:

连接时间日志: 由多个程序执行，把记录写入到/var/log/wtmp和/var/run/utmp，login等程序会更新wtmp和utmp文件，使系统管理员能够跟踪谁在何时登录到系统。
进程统计: 由系统内核执行，当一个进程终止时，为每个进程往进程统计文件中写一个记录。进程统计的目的是为系统中的基本服务提供命令使用统计。
错误日志: 由rsyslog守护程序执行，各种系统守护进程、用户程序和内核通过rsyslog守护程序向文件/var/log/messages报告值得注意的事件。另外有许多Linux程序创建日志。像HTTP和FTP这样提供网络服务的服务器也保持详细的日志。

日志保存位置
默认位于：/var/log 目录下
主要日志文件介绍
内核及公共消息日志：/var/log/messages
计划任务日志：/var/log/cron
系统引导日志：/var/log/dmesg
邮件系统日志：/var/log/maillog
用户登录日志：/var/log/lastlog //最近的用户登录事件
/var/log/secure //用户验证相关的安全性事件
/var/log/wtmp //当前登录用户详细信息
/var/run/utmp //用户登录、注销及系统开、关机等事件

用户日志
有关当前登录用户的信息记录在文件utmp中；utmp文件被各种命令使用，包括who、w、users和finger。
登录和退出记录在文件wtmp中；数据交换、关机以及重启的信息也都记录在wtmp文件中；wtmp文件被命令last和ac使用。
所有的记录都包含时间戳。时间戳对于日志来说非常重要，因为很多攻击行为分析都是与时间有极大关系的。
这两个文件是二进制文件，不能用诸如tail、cat之类的命令来进行访问、操作。
查看和统计

内核及系统日志
由系统服务 rsyslog 统一管理
软件包：rsyslog-7.4.7-7.el7_0.x86_64
主要程序：/usr/sbin/rsyslogd
配置文件：/etc/rsyslog.conf
查看配置文件内容grep -v “^$” /etc/rsysl