Linux系统日志分析

不知名hack

已于 2023-04-04 15:49:21 修改

阅读量1k

点赞数

分类专栏： Linux 文章标签： linux 运维服务器

于 2023-04-04 15:42:53 首次发布

本文链接：https://blog.csdn.net/qq_44484541/article/details/129954691

版权

Linux 专栏收录该内容

42 篇文章 2 订阅

订阅专栏

Linux系统使用rsyslog服务管理日志，主要配置文件为/etc/rsyslog.conf。常见的日志文件包括/var/log/messages、/var/log/cron、/var/log/dmesg等，分别记录系统消息、计划任务、系统引导等信息。/var/log/secure关注安全日志，/var/log/wtmp和/btmp记录登录详情和失败尝试。lastlog、last、w和who等工具用于查看和分析这些日志。

摘要由CSDN通过智能技术生成

Linux系统日志分析
Linux系统的日志是由一个叫做rsyslog的服务进行管理，系统日志默认的守护进程为rsyslog,rsyslog是syslog的一个升级版本。

主要配置文件：/etc/rsyslog.conf
Linux系统内核的许多程序服务会产生各种错误信息、告警信息，这些信息都记录到日志文件中，完成这个过程的程序就是rsyslog，rsyslog可以根据日志的类别和优先级将日志保存到不同的文件中。

日志类型：
在这里插入图片描述

日志优先级：
在这里插入图片描述

常见日志文件：系统日志一般存储于 /var/log 目录下
在这里插入图片描述

/var/log/messages：系统日志，主要记录内核和公共消息。
messages 信息项包括：事件发生的日期和时间、主机，终端名、进程和事件日志。
/var/log/cron：计划执行任务日志。
cron 信息项包括：事件发生的日期和时间、主机，终端名、进程和事件日志。
/var/log/dmesg：系统引导日志，显示硬件相关的信息。
/var/log/maillog：邮件日志。
/var/log/lastlog：记录所有用户登录最后一次登录本系统的时间信息。用 lastlog 读取信息。lastlog 的几列内容：Username（用户名）、Port（端口）、From（登录IP）、Latest（最后登录时间）。
系统用户是调用系统当中一些特殊服务的用户，不能登录系统（所以它们的登录状态都是显示“Never logged in”从来没有登录）。能够登录系统的只有 root 和新建的普通用户。
/var/log/boot.log：系统启动日志。
/var/log/secure：安全和身份验证日志。
通过 secure 的信息可以发现记录的是安全相关的信息，记录最多的是哪些用户登录服务器的相关日志。
/var/log/wtmp：记录所有用户登录的详细信息。一个二进制文件，不能用cat、vi、tail、more这些命令打开查看。用 last 命令查看。last 作用是显示近期用户或终端登录的情况（包括：登录、注销及系统的启动、停机的事件。因此随着系统正常运行时间的增加，该文件的大小也会越来越大）
/var/log/btmp：记录失败的登录记录，主要查看错误的登录信息。一个二进制文件，不能用cat、vi、tail、more这些命令打开查看。用 lastb 命令查看。
/var/run/utmp：用户登录、注销及系统开、关等事件。一个二进制文件，不能用cat、vi、tail、more这些命令打开查看。用 w / who 命令查看。
w 命令：查看登录者的信息及行为。
who 命令：显示关于当前在本地系统上的所有用户信息。who 和 w 差不多，who 显示的内容更为简洁。who 命令显示以下内容：登录名、tty、登录日期和时间。如果用户是从远程终端登录的，那么该终端的 IP 也会显示出来。