Linux学习 ------ 分析日志文件

一、日志简述和功能：
日志文件是用于记录Linux 系统中各种运行消息的文件，相当于Linux 主机的“日记”，不同的日志文件记载了不同类型的消息。日志文件对于诊断和解决系统中的问题很多帮助，因为在linux 系统中运行的程序通常会把系统消息和错误写入相应的日志文件，当主机遭遇攻击时，日志文件还可以帮助寻找攻击者留下的痕迹。

二、日志的分类：
1、内核及系统日志：
由系统服务 syslog 统一进行管理，日志格式基本相似，主要配置文件为 /etc/rsyslog.conf

2、用户日志：
记录系统用户登录及退出系统的相关信息
3、程序日志：
由各种应用程序独立管理的日志文件，记录格式不统一

三、日志保存位置：默认在 /var/log 目录下

四、主要日志文件介绍：

五、日志文件分析：
（一）内核及系统日志：由系统服务rsyslogd 统一管理
1、软件包：rsyslog-7.4.7 -16.el7.x86_64
2、主要程序： /sbin/rsyslogd
3、配置文件： /etc/rsyslog.conf
4、日志消息的级别：

（二）用户日志：保存了用户登录、退出系统等相关信息

文件	保存内容
/var/log/lastlog	最近的用户登录事件
/var/log/wtmp	用户登录、注销及系统开、关机事件
/var/run/utmp	当前登录的每个用户的详细信息
/var/log/secure	与用户验证相关的安全性事件

分析工具：users、who 、last、lastb（最近登录但是失败的用户）

（三）程序日志：由相应的应用程序独立进行管理
1、web 服务： /var/log/httpd/
access_log（记录客户访问时间记录）、error_log（记录客户访问错误事件）
2、代理服务：/var/log/squid
access.log 、cache.log
3、FTP 服务：/var/log/xferlog
4、分析工具：
文本查看、grep过滤检索、webmin管理套件中查看；
awk、sed等文本过滤、格式化编辑工具；
webalizer、Awstats 等专用日志分析工具。

六、日志管理策略：

1、及时做好备份和归档；
2、延长日志保存期限；
3、控制日志访问权限；
4、集中管理日志。