19 linux高级篇-日志管理

最新推荐文章于 2024-05-05 21:51:35 发布

Cx330_zhahui

最新推荐文章于 2024-05-05 21:51:35 发布

阅读量841

点赞数 17

分类专栏： Linux 文章标签： linux 服务器运维

本文链接：https://blog.csdn.net/qq_74289024/article/details/138308877

版权

Linux 专栏收录该内容

18 篇文章 0 订阅

订阅专栏

第十九章 Linux 高级篇-日志管理

19.1 基本介绍

日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括用户的登录信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等。
日志对于安全来说也很重要，它记录了系统每天发生的各种事情，通过日志来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。
可以这样理解日志是用来记录重大事件的工具

19.2 系统常用的日志

在这里插入图片描述

应用案例

查看lastlog文件，二进制文件输入lastlog获取

在这里插入图片描述

lastlog

使用 root 第一次使用错误的密码，第二次使用正确的密码登录成功看看在日志文件/var/log/secure 里有没有记录相关信息

在这里插入图片描述

accepted ：登录成功

failed : 登录失败

19.3 日志管理服务 rsyslogd

CentOS7.6 日志服务是 rsyslogd ， CentOS6.x 日志服务是 syslogd 。rsyslogd 功能更强大。rsyslogd 的使用、日志文件的格式，和 syslogd 服务兼容的。

原理示意图

在这里插入图片描述

查询 Linux 中的 rsyslogd 服务是否启动

ps aux | grep "rsyslog" | grep -v "grep"

-v 获取不含“grep” 的

在这里插入图片描述

查询 rsyslogd 服务的自启动状态

systemctl list-unit-files | grep rsyslog

在这里插入图片描述

配置文件：/etc/rsyslog.conf 编辑文件时的格式为： . 存放日志文件其中第一个代表日志类型，第二个代表日志级别

日志类型分为：

auth ##pam 产生的日志

authpriv ##ssh、ftp 等登录信息的验证信息

corn ##时间任务相关

kern ##内核

lpr ##打印

mail ##邮件

mark(syslog)-rsyslog##服务内部的信息，时间标识

news ##新闻组

user ##用户程序产生的相关信息

uucp ##unix to nuix copy 主机之间相关的通信

local 1-7 ##自定义的日志设备

日志级别分为：

debug ##有调试信息的，日志通信最多

info ##一般信息日志，最常用

notice ##最具有重要性的普通条件的信息

warning ##警告级别

err ##错误级别，阻止某个功能或者模块不能正常工作的信息

crit ##严重级别，阻止整个系统或者整个软件不能正常工作的信息

alert ##需要立刻修改的信息

emerg ##内核崩溃等重要信息

none ##什么都不记录

注意：从上到下，级别从低到高，记录信息越来越少

由日志服务 rsyslogd 记录的日志文件，日志文件的格式包含以下 4 列：

事件产生的时间
产生事件的服务器的主机名
产生事件的服务名或程序名
事件的具体信息

在这里插入图片描述

19.4 日志轮替

19.4.1 基本介绍

日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围之后，就会进行删除

19.4.2 日志轮替文件命名

centos7 使用 logrotate 进行日志轮替管理，要想改变日志轮替文件名字，

通过 /etc/logrotate.conf 配置文件中“dateext” 参数

如果配置文件中有“dateext”参数，那么日志会用日期来作为日志文件的后缀，例如 “secure-20201010”。这样日志文件名不会重叠，也就不需要日志文件的改名，只需要指定保存日志个数，删除多余的日志文件即可。
如果配置文件中没有“dateext”参数，日志文件就需要进行改名了。当第一次进行日志轮替时，当前的“secure”日志会自动改名为“secure.1”，然后新建“secure”日志，用来保存新的日志。当第二次进行日志轮替时，“secure.1” 会自动改名为“secure.2”，当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志，用来保存新的日志，以此类推。

19.4.3 logrotate 配置文件

参数参数说明

daily 日志的轮替周期是每天

weekly 日志的轮替周期是每周

monthly 日志的轮替周期是每月

rotate 数字保留的日志文件的个数。0 指没有备份

compress 日志轮替时，旧的日志进行压缩

create mode owner group 建立新日志，同时指定新日志的权限与所有者和所属组。

mail address 当日志轮替时，输出内容通过邮件发送到指定的邮件地址。

missingok 如果日志不存在，则忽略该日志的警告信息

notifempty 如果日志为空文件，则不进行日志轮替

minsize 大小日志轮替的最小值。也就是日志一定要达到这个最小值才会轮替，否则就算时间达到也不轮替

size 大小日志只有大于指定大小才进行日志轮替，而不是按照时间轮替。

dateext 使用日期作为日志轮替文件的后缀

sharedscripts 在此关键字之后的脚本只执行一次。

prerotate/endscript 在日志轮替之前执行脚本命令。

postrotate/endscript 在日志轮替之后执行脚本命令。

19.4.4 把自己的日志加入日志轮替

第一种方法是直接在**/etc/logrotate.conf** 配置文件中写入该日志的轮替策略
第二种方法是在**/etc/logrotate.d/**目录中新建立该日志的轮替文件，在该轮替文件中写入正确的轮替策略，因为该目录中的文件都会被“include”到主配置文件中，所以也可以把日志加入轮替。
推荐使用第二种方法，因为系统中需要轮替的日志非常多，如果全都直接写入/etc/logrotate.conf 配置文件，那么这个文件的可管理性就会非常差，不利于此文件的维护。