[000-01-001].第13节：Linux中的日志管理

1.初识日志：

1.1.日志的基本介绍

• 1.日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括用户的登录信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等。
• 2.日志对于安全来说也很重要，它记录了系统每天发生的各种事情，通过日志来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。
• 3.可以这样理解 日志是用来记录重大事件的工具

1.2.系统常用的日志

• 1./var/log/ 目录就是系统日志文件的保存位置，如下图：
  

1.3.系统常用日志:

• 1.各日志所在目录及其含义：
  
• 2./bar/log/lastlog目录下文件不可以使用cat命令查看，因为他是二进制文件，可直接输入lastlog命令查看
  

1.4.应用案例

• 1.使用 root 用户通过 xshell6 登陆, 第一次使用错误的密码，第二次使用正确的密码登录成功看看在日志文件/var/log/secure 里有没有记录相关信息
  

---

2.日志服务配置文件：

2.1.日志管理服务与日志的关系：

• 1.CentOS7.6 日志服务是 rsyslogd ， CentOS6.x 日志服务是 syslogd
• 2.rsyslogd 功能更强大。rsyslogd 的使用、日志文件的格式，和 syslogd 服务兼容的。原理示意图
  
• 3.查询 Linux 中的 rsyslogd 服务是否启动:ps aux | grep "rsyslog" | grep -v "grep" ，这里的-v就是反向匹配的意思
  
• 4.查询 rsyslogd 服务的自启动状态:systemctl list-unit-files | grep rsyslog
  

---

2.2.配置文件配置：

a.配置文件说明：

• 1.配置文件位置：/etc/rsyslog.conf
• 2.编辑文件时的格式为： *.* 存放日志文件；其中第一个*代表日志类型，第二个*代表日志级别

c.日志级别分为：

• debug ##有调试信息的，日志通信最多
• info ##一般信息日志，最常用
• notice ##最具有重要性的普通条件的信息
• warning ##警告级别
• err ##错误级别，阻止某个功能或者模块不能正常工作的信息
• crit ##严重级别，阻止整个系统或者整个软件不能正常工作的信息
• alert ##需要立刻修改的信息
• emerg ##内核崩溃等重要信息
• none ##什么都不记录

注意：从上到下，级别从低到高，记录信息越来越少

b.日志类型分为：

• auth ##pam 产生的日志
• authpriv ##ssh、ftp 等登录信息的验证信息
• corn ##时间任务相关
• kern ##内核
• lpr ##打印
• mail ##邮件
• mark(syslog)-rsyslog##服务内部的信息，时间标识
• news ##新闻组
• user ##用户程序产生的相关信息
• uucp ##unix to nuix copy 主机之间相关的通信
• local 1-7 ##自定义的日志设备

2.3.日志文件查看：

a. 记录的日志文件的格式

由日志服务 rsyslogd 记录的日志文件，日志文件的格式包含以下 4 列：

• 事件产生的时间
• 产生事件的服务器的主机名
• 产生事件的服务名或程序名
• 事件的具体信息

b.日志如何查看实例

• 1.查看一下 /var/log/secure 日志，这个日志中记录的是用户验证和授权方面的信息 来分析如何查看
  

c.日志管理服务应用实例：

• 1.在/etc/rsyslog.conf 中添加一个日志文件/var/log/hsp.log,当有事件发送时(比如 sshd 服务相关事件)，该文件会接收到信息并保存：
  
• 2.然后去重新登录centos7后再去查看是否有数据记录到hsp.log文件中：
  
• 3.查看hsp.log文件：
  

---

3.日志轮替：

3.1.日志轮替基本介绍

• 1.日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围之后，就会进行删除

3.2.日志轮替文件命名规则

• 1.centos7 使用 logrotate 进行日志轮替管理，要想改变日志轮替文件名字，通过 /etc/logrotate.conf 配置文件中dateext参数
• 2.如果配置文件中有“dateext”参数，那么日志会用日期来作为日志文件的后缀，例如 “secure-20201010”。这样日志文件名不会重叠，也就不需要日志文件的改名， 只需要指定保存日志个数，删除多余的日志文件即可。
• 3.如果配置文件中没有“dateext”参数，日志文件就需要进行改名了。当第一次进行日志轮替时，当前的“secure”日志会自动改名为“secure.1”，然后新建“secure”日志， 用来保存新的日志。当第二次进行日志轮替时，“secure.1”会自动改名为“secure.2”， 当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志，用来保存新的日志，以此类推。

---

3.3 logrotate 配置文件:

a. /etc/logrotate.conf 为 logrotate 的全局配置文件

# rotate log files weekly, 每周对日志文件进行一次轮替
weekly
# keep 4 weeks worth of backlogs, 共保存 4 份日志文件，当建立新的日志文件时，旧的将会被删rotate 4
 # create new (empty) log files after rotating old ones, 创建新的空的日志文件，在日志轮替后create
# use date as a suffix of the rotated file, 使用日期作为日志轮替文件的后缀
dateext
# uncomment this if you want your log files compressed, 日志文件是否压缩。如果取消注释，则日志会在转储的同时进行压缩
#compress
#RPM packages drop log rotation information into this directory
include /etc/logrotate.d
# 包含 /etc/logrotate.d/ 目录中所有的子配置文件。也就 是说会把这个目录中所有子配置文件读取进来，#下面是单独设置，优先级更高。
# no packages own wtmp and btmp -- we'll rotate them here
/var/log/wtmp {
	monthly # 每月对日志文件进行一次轮替
	create 0664 root utmp # 建立的新日志文件，权限是 0664 ，所有者是 root ，所属组是utmp 组minsize 1M # 日志文件最小轮替大小是 1MB 。也就是日志一定要超过 1MB 才会轮替，否则就算时间达到一个月，也不进行日志转储
	rotate 1 # 仅保留一个日志备份。也就是只有 wtmp 和 wtmp.1 日志保留而已
}
/var/log/btmp {
	missingok # 如果日志不存在，则忽略该日志的警告信息
	monthly
	create 0600 root utmp
	rotate 1
}

b.参数说明

• daily 日志的轮替周期是每天
• weekly 日志的轮替周期是每周
• monthly 日志的轮替周期是每月
• rotate 数字 保留的日志文件的个数。0 指没有备份
• compress 日志轮替时，旧的日志进行压缩
• create mode owner group 建立新日志，同时指定新日志的权限与所有者和所属组。
• mail address 当日志轮替时，输出内容通过邮件发送到指定的邮件地址。missingok 如果日志不存在，则忽略该日志的警告信息
• notifempty 如果日志为空文件，则不进行日志轮替
• minsize 大小 日志轮替的最小值。也就是日志一定要达到这个最小值才会轮替，否则就算时间达到也不轮替
• size 大小 日志只有大于指定大小才进行日志轮替，而不是按照时间轮替。dateext 使用日期作为日志轮替文件的后缀
• sharedscripts 在此关键字之后的脚本只执行一次。
• prerotate/endscript 在日志轮替之前执行脚本命令。
• postrotate/endscript 在日志轮替之后执行脚本命令。

c.把自己的日志加入日志轮替:

c1.实现方案：

• 1.第一种方法是直接在/etc/logrotate.conf 配置文件中写入该日志的轮替策略
• 2.第二种方法是在/etc/logrotate.d/目录中新建立该日志的轮替文件，在该轮替文件中写入正确的轮替策略，因为该目录中的文件都会被“include”到主配置文件中，所以也可以把日志加入轮替。

推荐使用第二种方法，因为系统中需要轮替的日志非常多，如果全都直接写 入/etc/logrotate.conf 配置文件，那么这个文件的可管理性就会非常差，不利于此文件的维护

c2.命令实现：

• 1.先在/etc/logrotate.d/ 配置轮替文件一览
  
• 2.基于第二种方直接在 /etc/logrotate.d/ 下创建文件 hsplog 编写如下内容,

• 3.具体轮替的效果 可以参考 /var/log 下的 boot.log 情况.

---

3.4.日志轮替机制原理

• 1.日志轮替之所以可以在指定的时间备份日志，是依赖系统定时任务。在 /etc/cron.daily/目录，就会发现这个目录中是有 logrotate 文件(可执行)
  

• 2.logrotate 通过这个文件依赖定时任务执行的
  

---

4.查看内存日志：

4.1.内存日志查看命令：

journalctl 可以查看内存日志, 这里我们看看常用的指令

• 1.journalctl ##查看全部
• 2.journalctl -n 3 ##查看最新 3 条
• 3.journalctl --since 19:00 --until 19:10:10 #查看起始时间到结束时间的日志可加日期
• 4.journalctl -p err ##报错日志
• 5.journalctl -o verbose ##日志详细内容
• 6.journalctl _PID=1245 _COMM=sshd ##查看包含这些参数的日志（在详细日志查看）或者 journalctl | grep sshd

注意: journalctl 查看的是内存日志, 重启清空

4.2.演示案例:

• 1.使用 journalctl | grep sshd 来看看用户登录清空, 重启系统，再次查询，看看日志有什么变化没有