Linux 系统日志访问 journalctl工具

一、Linux日志管理

系统环境:CentOS 7

 1.日志的功能

• 系统和程序的“日记本”

– 记录系统、程序运行中发生的各种事件

– 通过查看日志,了解及排除故障

– 信息安全控制的  依据

2.由系统服务rsyslog统一记录/管理

– 日志消息采用文本格式

– 主要记录事件发生的时间、主机、进程、内容

例如:

[root@svr7 opt]# tail /var/log/messages
Aug  5 14:38:01 svr7 systemd: Started Session 176 of user root.
Aug  5 14:38:01 svr7 systemd: Starting Session 176 of user root.

 Aug  5 14:38:01       -----  时间      

 svr7                       ----地点

systemd                 ---人物

Starting Session 176 of user root.  ----事件

3.常见的日志文件

/var/log/messages 记录内核消息、各种服务的公共消息

/var/log/dmesg 记录系统启动过程的各种消息

/var/log/cron 记录与cron计划任务相关的消息

/var/log/maillog 记录邮件收发相关的消息

/var/log/secure 记录与访问限制相关的安全消息

 4.日志分析

• 通用分析工具

– tail、tailf、less、grep等文本浏览/检索命令

– awk、sed等格式化过滤工具

5.日志消息的优先级

• Linux内核定义的事件紧急程度

– 分为 0~7 共8种优先级别

– 其数值越小,表示对应事件越紧急/重要

  0  EMERG（紧急）          会导致主机系统不可用的情况

  1  ALERT（警告）          必须马上采取措施解决的问题

  2  CRIT（严重）         比较严重的情况

  3  ERR（错误）        运行出现错误

  4  WARNING（提醒）      可能会影响系统功能的事件

  5  NOTICE（注意）        不会影响系统但值得注意

  6  INFO（信息）        一般信息

  7  DEBUG（调试）          程序或系统调试信息等

查看命令: man syslog

       #define KERN_EMERG    "<0>"  /* system is unusable               */
       #define KERN_ALERT      "<1>"  /* action must be taken immediately */
       #define KERN_CRIT         "<2>"  /* critical conditions              */
       #define KERN_ERR          "<3>"  /* error conditions                 */
       #define KERN_WARNING  "<4>"  /* warning conditions               */
       #define KERN_NOTICE     "<5>"  /* normal but significant condition */
       #define KERN_INFO          "<6>"  /* informational                    */
       #define KERN_DEBUG     "<7>"  /* debug-level messages             */

6.用户登录分析

  • users,who,w命令 根据详细程度不同区分

[root@svr7 opt]# who
root     pts/0        2019-08-05 09:08 (192.168.4.254)
root     pts/1        2019-08-05 14:09 (192.168.4.254)
[root@svr7 opt]# users
root root
[root@svr7 opt]# w
 15:13:39 up  6:09,  2 users,  load average: 0.00, 0.01, 0.05
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
root     pts/0    192.168.4.254    09:08    3.00s  1.01s  0.00s w
root     pts/1    192.168.4.254    14:09   57:15   0.09s  0.09s -bash

• last,lastb命令 查看最近登录成功/登录失败的用户

7.journalctl工具

• journalctl | grep 关键词
• journalctl -u 服务名 -p 优先级
• journalctl -n 消息条数
• journalctl --since="yyyy-mm-dd HH:MM:SS" --until="yyyy-mm-dd HH:MM:SS"

1）列出最近5条重要程度在 ERR 及以上的日志消息

       journalctl -n 5 -p err

2）列出所有与服务httpd相关的消息

       journalctl -u httpd

3) 列出前4个小时内新记录的日志

假设目前时间为12:00,2019-08-05
 journalctl --since "2019-08-05 8:00" --until "2019-08-05 12:00"