Linux日志功能

一、日志介绍

• 用于记录系统、程序运行中发生的各种事件
• 通过阅读日志，有助于诊断和解决系统故障

• 1、日志文件的分类

• 内核级系统日志
  1、由系统服务rsyslog统一进行管理，日志格式基本相似
  2、 主配置文件/etc/rsyslog.conf
• 用户日志
  1、 记录系统用户登录及退出系统的相关信息
• 程序日志
  1、有各种应用程序独立管理的日志文件，记录格式不统一

2、日志保存位置

 /var/log目录下

3、主要日志文件介绍

内核及公共消息日志： ./var/log/messages
计划任务日志: ./var/log/cron
系统引导日志： ./var/log/maillog
邮件系统日志：  ./var/log/maillog
用户登录日志：  ./var/log/lastlog ./var/log/secure  ./var/log/wtmp   ./var/run/btmp

• 内核及公共消息日志：
  记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该日志中获得相关的时间记录信息。
• 计划任务日志:
  记录crond计划任务产生的事件信息。
• 系统引导日志：
  记录Linux系统在引导过程中的各种事件信息。
• 邮件系统日志：
  记录进入或发出系统的电子邮件活动。
• 用户登录日志：
  1、 ./var/log/lastlog ：记录每个用户最近的登录事件。二进制格式
  2、./var/log/secure：记录用户认证相关的安全事件信息。
  3、./var/log/wtmp：记录每个用户登录、注销及系统启动和停机事件。二进制格式
  4、./var/run/btmp：记录失败的、错误的登录尝试及验证事件。二进制格式
  示例：
  使用vim messages进行查看
  

二、内核日志优先级

Linux系统内核日志消息的优先级别（数字等级越小，优先级越高，消息越重要）

等级	说明
0、EMERG （紧急）	会导致主机系统不可用的情况。
1、ALERT（警告）	必须马上采取措施解决的问题。
2、CRIT (严重）	比较严重的情况。
3、ERR（错误）	运行出现错误
4、WARNING(提醒）	可能影响系统功能，需要提醒用户的重要事件。
5、NOTICE（注意}	不会影响正常功能，但是需要注意的事件。
6、INFO(信息）	一般信息。
5、DEBUG（调试}	程序或系统调试信息等。

三、用户日志分析

• ./var/log/lastlog:最近的用户登录事件
• ./var/log/wtmp:用户登录、注销及系统开、关机事件
• ./var/run/utmp:当前登录的每个用户的详细信息
• ./var/log/secure:与用户验证相关的安全性事件
  分析工具
• users、who、w、last、lastb
• last命令用于查询成功登录到系统的用户记录
• lastb命令用于查询登录失败的用户记录

四、程序日志分析

• web服务：/var/log/httpd/
  1、access——log 记录客户访问时间
  2、error——log 记录错误事件
• 代理服务/var/log/squid/
  1、access.log cache.log
• 文本查看、grep过滤检索、webmin管理套件中查看
• akw、sed等文本过滤、格式化编辑工具
• Webalizer、Awstats等专用日志分析工具