linux中关于日志的审计小结

在 Linux 系统中，系统的日志信息通常存储在 /var/log 目录
下，部分应用程序也会把相关日志记录到这个目录中。系统日志主要分为 3 类，用户登录
日志、特殊事件日志和进程日志。
用户登录日志主要是/var/log/wtmp和/var/run/utmp，用来保存用户登录相关的信
息。用户登录日志本身为二进制文件，我们无法直接通过文本方式查看，但是可以配合
who/users/ac/last/lastlog这样的命令来获取。
特殊事件日志主要包括/var/log/secure和/var/log/message。其
中，/var/log/secure主要记录认证和授权相关的记录，如果有人试图爆破 SSH，我们
就可以从这个日志中观察出来。/var/log/message由 syslogd 来维护，syslogd 这个守

1 su -s /bin/redis-server nobody
护进程提供了一个记录特殊事件和消息的标准机制，其他应用可以通过这个守护进程来报告
特殊的事件。
进程日志：当通过 accton 来进行系统进程管理时，会生成记录用户执行命令的 pacct 文
件。
默认情况下，Linux 会通过 logrotate 对日志执行相应的保留策略（比如日志切割和旧日志
删除等）。通过配置/etc/logrotate.conf可以对不同日志的保留策略进行修改。
那如何对日志进行监控呢？这里，我向你推荐 2 种常见的日志分析工具 ELK 和 Zabbix，你
可以利用这些工具来监控 Linux 的安全日志。也就是说，我们可以通过在这些分析平台配
置恰当的规则（如 SSH 登录尝试失败 3 次以上），来及时发现黑客的部分入侵尝试，迅速
产生报警。然后，我们就可以针对具体的问题，进行人工复查了。