syslog应用详解

syslog是Linux的日志子系统，本文详细讲述了syslog日志文件的字段含义、syslog如何应用和syslog的配置，并描述了c语言应用syslog的几个接口。

日志概念

      日志文件详细地记录了系统每天发生的各种各样的事件。用户可以通过日志文件检查错误产生的原因，或者在受到攻击和黑客入侵时追踪攻击者的踪迹。日志的两个比较重要的作用是：审核和监测。

      Linux 系统的日志主要分为两种类型 :
      1. 进程所属日志： 由用户进程或其他系统服务进程自行生成的日志，比如服务器上的 access_log 与 error_log 日志文件。
      2. syslog 消息： 系统syslog 记录的日志，任何希望记录日志的系统进程或者用户进程都可以给调用syslog来记录日志。

 

      日志系统可以划分为三个子系统 :
      1. 用户登录日志–由多个程序执行，把纪录写入到/var/log/wtmp 和/var/run/utmp，login 等程序更新 wtmp 和 utmp 文件，使系统管理员能够跟踪谁在何时登录到系统。
      2. 进程统计–由系统内核执行。当一个进程终止时，为这个进程在进程统计文件（pacct 或 acct）中写一个纪录。进程统计的目的是为系统中的基本服务提供命令使用统计。
      3. 错误日志–由 syslogd(8)执行。各种系统守护进程、用户程序和内核通过
      syslog(3)向文件/var/log/messages 报告值得注意的事件。

 

怎样察看日志文件

      Linux系统所有的日志文件都在/var/log下，且必须有 root 权限才能察看。日志文件其实是纯文本的文件，每一行就是一个消息。察看方式有很多：
      1. cat 命令。日志文件总是很大的，因为从第一次启动 Linux 开始所有消息都累积在日志文件中。如果这个文件不只一页，那么就会因为显示滚动得太快看不清文件的内容。
      2. 文本编辑器。最好也不要用文本编辑器打开日志文件，这是因为一方面很耗费内存，另一方面不允许随意改动日志文件。
      3. 用 more 或 less 那样的分页显示程序。
      4. 用 grep 查找特定的消息。

 

      每一行表示一个消息,而且都由四个域的固定格式组成:
      1. 时间标签 (timest amp )，表示消息发出的日期和时间。
      2. 主机名( hostname )(在我们的例子中主机名为 escher)，表示生成消息的计算 机的名字。如果只有一台计算机，主机名就可能没有必要了。但是如果在网络环境中使用 syslog，那么就可能要把不同主机的消息发送到一台服务器上集中处理。
      3. 生成消息的子系统的名 字。可以是”kernel”，表示消息来自内核；或者是进程的名字，表示发出消息的程序的名字。在方括号里的是进程的PID。
      4. 消息( me ssage )，剩下的部分就是消息的内容。

 

举例:

在[root@localhost root]# 提示符下输入:tail /var/log/messages
Jan 05 21:55:51 localhost last message repeated 3 times
Jan 05 21:55:51 localhost kernel: [drm] AGP 0.99 on Intel i810 @ 0xf0000000 128MB
Jan 05 21:55:51 localhost kernel: [drm] Initialized i830 1.3.2 20021108 on minor0
Jan 05 21:55:51 localhost kernel: mtrr: base(0xf0000000) is not aligned on a size(0×12c000) boundary
Jan 05 21:56:35 localhost 1 月 28 21:56:35 gdm(pam_unix)[4079]: session opened for user root by (uid=0)
Jan 05 21:56:39 localhost 1 月 28 21:56:39 gconfd (root-4162): 正在启动(版本 2.2.0),pid 4162 用户”root”
Jan 05 21:56:39 localhost 1 月 28 21:56:39 gconfd (root-4162): 解析的地址”xml:readonly:/etc/gconf/gconf.xml.mandatory”指向位于 0 的只读配置源
Jan 05 21:56:39 localhost 1 月 28 21:56:39 gconfd (root-4162): 解析的地址”xml:readwrite:/root/.gconf”指向位于 1 的可写入配置源
Jan 05 21:56:39 localhost 1 月 28 21:56:39 gconfd (root-4162): 解析的地址”xml:readonly:/etc/gconf/gconf.xml.defaults”指向位于 2 的只读配置源
Jan 05 21:58:20 localhost kernel: MSDOS FS: IO charset p936

 

      值得注意的是，与用户登录日志不同，进程统计子系统默认不激活。在Linux系统中启动进程统计使用 accton 命令，必须用 root 身份来运行。accton 命令的形式：

# accton file
file必须事先存在。

      可以先使用 touch 命令创建 pacct 文件，然后运行： accton /var/log/pacct启动。一旦 accton 被激活，就可以使用 lastcomm 命令监测系统中任何时候执行的命令。若要关闭统计，可以使用不带任何参数的 accton 命令。

 

日志应用

syslog

      它同 closelog、openlog 共同给 system logger 发送消息。

      Linux 内核由很多子系统组成，包括网络、文件访问、内存管理等。子系统需要给用户传送一些消息，这些消息内容包括消息的来源及其重要性等。所有的子系统都要把消息送到一个可以维护的公用消息区。于是就有了一个叫 syslog 的程序。

      这个程序负责接收消息(比如系统内核和许多系统程序产生的错误信息、警告信息和其他信息，这些信息还附带有严重性级别)，并把消息分发到合适的地方。通常情况 下,所有的消息都被记录到特定的文件——日志文件中(通常是/var/adm 或/var/log 目录下的messages文件)，特别重要的消息也会在用户终端窗口上显示出来。

      syslog 工具有两个重要 文件: sy slogd 和 syslog.conf

      它能接受访问系统的日志信息并且根据 “/etc/syslog.conf” 配置文件中的指令处理这些信息。守护进程和内核提供了访问系统的日志信息，因此任何希望生成日志信息的程序都可以向 syslog 接口呼叫生成该信息。

syslogd守护进程

      就象其它复杂的操作系统那样，Linux也是由很多不同的子系统组成的。有些叫做 daemon的程序一直在后台运行(daemon:守护神之意。也就 是说他们”默默无闻”，不需要和用户交互)，处理一些象打印、发送邮件、建立 Internet 连接等日常工作。

      每一个子系统发出日志消息时都会给消息指定一个类型。一个消息分成两 个部分: “设备(facility )”和”级别(level)” 。

      “设备”标识发出消息的子系统，可以把同一类型的消息组合在一起，”级别”表示消息的重要性，其范围从 debug(最不重要)到 emerg(最重要)。facility 和 level 组合起来 称为 priority 。/usr/include/sys/syslog.h 中对此有相关的定义。

      用户看不到 daemon 程序，因为它们没有窗口和用户界面。但是这些程序有时候也要给用户传递一些信息。为了实现这个目的，就需要一个特殊的机制。syslogd 就是 daemon 的一个很好的例子，它在后台运行并且把消息从日志区转移到日志文件中去。

 

C 函数接口

头文件
#include
void openlog( char * <程序的名字 >, int <选项 >, int )

      你可以在程序刚开始的地方去调用该函数，他可以为没有指定优先级和设备的syslog 指定优先级、设备和配置选项，如果未使用该函数，程序会在第一次调用 syslog 时自动使用默认的设置 openlog。其中<选项>可以是以下值的 OR 组合:

• LOG_CONS : 如果消息无法送到 syslogd,直接输出到系统 console。
  LOG_NDELAY : 立即打开到 syslogd 的连接,默认连接是在第一次写入讯息时才打 开的。
  LOG_PERROR : 将消息也同时送到 stderr 上。
  LOG_PID : 将 PID 记录到每个消息中。

 

      参数用来指定何种程序在记录讯息,这可日志如何处理:

• LOG_AUTH : 安全/授权讯息(别用这个,请改用 LOG_AUTHPRIV)
  LOG_AUTHPRIV : 安全/授权讯息
  LOG_CRON : 时间守护神专用(cron 及 at)
  LOG_DAEMON : 其它系统守护神
  LOG_KERN : 核心讯息
  LOG_LOCAL0 到 LOG_LOCAL7 : 保留
  LOG_LPR : line printer 次系统
  LOG_MAIL : mail 次系统
  LOG_NEWS : USENET news 次系统
  LOG_SYSLOG : syslogd 内部所产生的讯息
  LOG_USER(default) : 一般使用者等级讯息
  LOG_UUCP : UUCP 次系统

 

void syslog( int , char * )

      其中 是 facility 和 level 的 OR 组合，level 级别如下:

• LOG_EMERG : 系统无法使用
  LOG_ALERT : 必须要立即采取反应行动
  LOG_CRIT : 重要状况发生
  LOG_ERR : 错误状况发生
  LOG_WARNING : 警告状况发生
  LOG_NOTICE : 一般状况,但也是重要状况
  LOG_INFO : 资讯讯息
  LOG_DEBUG : 除错讯息

 

void closelog( void )

      一般只需要用 syslog()函数,其他函数可以不用。

 

syslog.conf 文件配置

      这是一个非常重要的文件。位于”/etc”目录下，通知 syslogd 如何根据设备和信息重要级别来报告信息，该文件使用下面的形式:

facility.level action

      syslog.conf 的第一列 facility.level 用来指定日志功能和日志级别，中间用”.”隔开，可以使用*来匹配所有的日志功能和日志级别。第二列 action 是消息的分发目标。空白行和以#开头的行是注释，可以忽略。Facility.level 字段也被称做选择域（seletor）。

      facility 指定 syslog 功能,主要包括以下这些:

• auth 由 pam_pwdb 报告的认证活动。
  authpriv 包括特权信息如用户名在内的认证活动
  cron 与 cron 和 at 有关的信息。
  daemon 与 inetd 守护进程有关的信息。
  kern 内核信息,首先通过 klogd 传递。
  lpr 与打印服务有关的信息。
  mail 与电子邮件有关的信息
  mark syslog 内部功能用于生成时间戳
  news 来自新闻服务器的信息
  syslog 由 syslog 生成的信息
  user 由用户程序生成的信息
  uucp 由 uucp 生成的信息
  local0—-local7 与自定义程序使用,例如使用 local5 做为 ssh 功能
  * 通配符代表除了 mark 以外的所有功能

 

      level 级别，决定讯息的重要性。

      与每个功能对应的优先级是按一定顺序排列的，emerg 是最高级，其次是 alert，依次类推。缺省时在 /etc/syslog.conf 记录中指定的级别为该级别和更高级别。如果希望使用确定的级别可以使用两个运算符号”!”(不等)和”=”。

      例如:user.=info 表示告知 syslog 接受所有在 info 级别上的 user 功能信息。以下的等级重要性逐次递减:

• emerg 该系统不可用
  alert 需要立即被修改的条件
  crit 阻止某些工具或子系统功能实现的错误条件
  err 阻止工具或某些子系统部分功能实现的错误条件
  warning 预警信息
  notice 具有重要性的普通条件
  info 提供信息的消息
  debug 不包含函数条件或问题的其他信息
  none 没有重要级,通常用于排错
  * 所有级别,除了 none

 

      action 字段为动作域，所表示的活动具有许多灵活性，特别是可以使用名称管道的作用是可以使 syslogd 生成后处理信息。syslog 主要支持以下活动:

• file 将消息追加到指定的文件尾
  terminal 或 print 完全的串行或并行设备标志符
  @host 远程的日志服务器
  username 将消息写到指定的用户
  named pipe 指定使用 mkfifo 命令来创建的 FIFO 文件的绝对路径。
  * 将消息写到所有的用户

 

      选择域指明消息的类型和优先级，动作域指明 syslogd 接收到一个与选择标准相匹配的消息时所执行的动作。

      每个选项是由设备和优先级组成。每当指明一个优先级，syslogd 将纪录一个拥有相同或更高优先级的消息。比如如果指明”crit”则所有标为 crit、alert 和emerg 的消息将被纪录。每行的行动域指明当选择域选择了一个给定消息后应该把他发送到什么地方。

      以下是一个实际站点的配置(syslog.conf)文件:

# Store critical stuff in critical
#
*.=crit;kern.none /var/adm/critical
这个将把所有信息以优先权的 crit 保存在/var/adm/critical 文件中,除了一些内核信息
# Kernel messages are first, stored in the kernel
# file, critical messages and higher ones also go
# to another host and to the console
#
kern.* /var/adm/kernel
kern.crit @finlandia
kern.crit /dev/console
kern.info;kern.!err /var/adm/kernel-info

 

      第一条代码指引一些内核设备访问文件/var/adm/kernel 的信息。

      第二条代码直接引导所有拥有 crit 和更高优先权的内核信息访问远程主机。如果它们也存储在远程主机上,仍旧可以试着找到毁坏的原因。

      第四行说明 syslogd 保存了所有拥有 info 到 warning 优先级的内核信息在/var/adm/kernel-info 文件夹下。所有 err 和更高优先级的被排除在外。

# The tcp wrapper loggs with mail.info, we display
# all the connections on tty12
#
mail.=info /dev/tty12

      这个引导所有使用 mail.info (in source LOG_MAIL | LOG_INFO)的信息到/dev/tty12 下,第 12 个控制台。例如 tcpwrapper tcpd(8)载缺省时使用这个。

# Store all mail concerning stuff in a file
mail.*;mail.!=info /var/adm/mail

      模式匹配了所有具有 mail 功能的信息,除了拥有 info 优先级的。他们将被保存在文件/var/adm/mail 中。

# Log all mail.info and news.info messages to info
#
mail,news.=info /var/adm/info

      提取所有具有 mail.info 或 news.info 功能优先级的信息存储在文件/var/adm/info 中。

# Log info and notice messages to messages file
#
*.=info;*.=notice;/
mail.none /var/log/messages

      使所有 syslogd 日志中具有 info 或 notice 功能的信息存储在文件/var/log/messages 中，除了所有 mail 功能的信息。

# Log info messages to messages file
#
*.=info;/
mail,news.none /var/log/messages

      这个声明使 syslogd 日志中所有具有 info 优先权的信息存储在/var/log/messages 文件中。

      但是一些有 mail 或 news 功能的信息不能被存储。

# Emergency messages will be displayed using wall
#
*.=emerg *

      这行代码告诉 syslogd 写所有紧急信息到所有当前登陆用户日志中。

# Messages of the priority alert will be directed
# to the operator
#
*.alert root,joey
*.* @finlandia

      这个代码指引所有具有 alert 或更高级权限的信息到终端操作。第二行代码引导所有信息到叫做 finlandia 的远程主机。这个代码非常有用，特别是在所有 syslog 信息将被保存到一台机器上的群集计算机。

 

klogd 守护进程

      klog 是一个从 UNIX 内核接受消息的设备，klogd 守护进程获得并记录 Linux 内核信息。通常syslogd 会记录 klogd 传来的所有信息，也就是说klogd 会读取内核信息,并转发到 syslogd 进程。然而,如果调用带有 -f filename 变量的 klogd时，klogd 就在filename 中记录所有信息，而不是传给 syslogd。当指定另外一个文件进行日志记录时，klogd 就向该文件中写入所有级别或优先权。Klogd 中没有和 /etc/syslog.conf 类似的配置文件。

      使用 klogd 而避免使用 syslogd 的好处在于可以查找大量错误。

 

日志管理及日志保护

      logrotate 程序用来帮助用户管理日志文件，它以自己的守护进程工作。logrotate 周期性地旋转日志文件，可以周期性地把每个日志文件重命名成一个备份名字，然后让它的守护进程开始使用一个日志文件的新的拷贝。在/var/log/下产生如maillog、maillog.1、maillog.2、boot.log.1、boot.log.2 之类的文件。

      它由一个配置文件驱动，该文件是/etc/logroatate.conf。

      以下是 logroatate.conf 文件例子:

# see “man logrotate” for details
# rotate log files weekly
weekly
#以 7 天为一个周期
# keep 4 weeks worth of backlogs
rotate 4
#每隔 4 周备份日志文件
# send errors to root
errors root
#发生错误向 root 报告
# create new (empty) log files after rotating old ones
create
#转完旧的日志文件就创建新的日志文件
# uncomment this if you want your log files compressed
#compress
#指定是否压缩日志文件
# RPM packages drop log rotation information into this directory
include /etc/logrotate.d
# no packages own lastlog or wtmp — we’ll rotate them here
/var/log/wtmp {
monthly
create 0664 root utmp
rotate 1
}
# system-specific logs may be configured here

      在网络应用中，有一种保护日志的方式： 在网络中设定一台秘密的 syslog 主机，把这台主机的网卡设为混杂模式，用来监听子网内所有的 syslog 包，这样把所有需要传送日志的主机配置为向一台不存在的主机发送日志即可。这样即使黑客攻陷了目标主机，也无法通过syslog.conf 文件找到备份日志的主机，那只是一个不存在的主机。实际操作中还可以辅以交换机的配置，以确保 syslog 包可以被备份日志主机上的 syslog 进程接受到。比如把 syslog.conf 中的传送日志主机设为@192.168.0.13，但实际网络中不存在这个日志主机，实际可能是 192.168.0.250 或者其他主机正在接受syslog 包。