Linux 日志管理

介绍

1. 日志文件是重要的系统信息文件，其中记录了许多重要的系统信息，包括用户的登陆信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等。
2. 日志对于安全来说也很重要，它记录了系统每天发生的各种事情，通过日志来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。
3. 可以这样理解，日志是用来记录重大事件的工具。

系统常用的日志

/var/log 目录就是系统日志文件的保存位置：

日志管理服务

日志服务 是后台程序，作用是记录相关日志。

centos7.6 日志服务是rsyslogd，centos6.x 日志服务是syslogd。
rsyslogd功能更强大，rsyslogd的使用、日志文件的格式 和syslogd服务是兼容的。

# 查询Linux中的rsyslogd 服务是否启动
ps aux | grep "rsyslog" | grep -v "grep"

# 查询 rsyslogd 服务的自启动状态
systemctl list-unit-files | grep rsyslog

配置文件：/etc/rsyslog.conf

• 编辑文件时的格式为：

*.*		存放日志文件

其中第一个 *代表日志类型，第二个*代表日志级别
其中日志类型：

auth  # pam产生的日志
authpriv # ssh、ftp等登录信息的验证信息
corn # 时间任务相关
kern # 内核
lpr # 打印
mail # 邮件
mark(syslog)-rsyslog # 服务内部的信息，时间标识
news # 新闻组
user # 用户程序产生的相关信息
uucp # unix to nuix copy 主机之间相关的通信
local 1-7 # 自定义的日志设备

日志级别：

debug # 有调试信息的，日志通信最多
info # 一般信息日志，最常用
notice # 最具有重要性的普通条件的信息
warning # 警告级别
err # 错误级别，阻止某个功能或者模块不能正常工作的信息
crit # 严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert # 需要立刻修改的信息
emerg # 内核崩溃等重要信息
none # 什么都不记录

注意：从上到下，级别从低到高，记录信息越来越少。

• 由日志服务rsyslogd记录的日志文件，日志文件的格式包含以下4列：

事件产生的时间
产生事件的服务器的主机名
产生事件的服务名或程序名
事件的具体信息

自定义日志服务

示例：在 /etc/rsyslog.conf 中添加一个日志文件 /var/log/hsp.log，当有事件发送时（比如sshd服务相关事件），该文件会接收到信息并保存。

日志轮替

• 介绍

日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围之后，就会进行删除。

• 日志轮替文件命名

1. centos7 使用 logroatate 进行日志轮替管理，要想改变日志轮替文件名字，通过 /etc/logrotate.conf 配置文件中的"dateext"参数。
2. 如果配置文件中有 “dateext”参数，那么日志会用日期来作为日志文件的后缀，例如 “secure-20201010” 。这样日志文件名就不会重叠，也就不需要日志文件的改名，只需要指定保存日志个数，删除多余的日志文件即可。
3. 如果配置文件中没有 “dateext” 参数，日志文件就需要进行改名了。当第一次进行日志轮替时，当前的 “secure” 日志会自动改名为 “secure.1”， 然后新建 “secure” 日志，用来保存新的日志。当第二次进行日志轮替时， “secure.1” 会自动改名为 “secure.2” ，当前的 “secure” 日志会自动改名为 “secure.1” ，然后也会新建 “secure” 日志，用来保存新的日志，以此类推。

说明：也可以把某个日志文件的轮替规则，写道 /etc/logrotate.d 目录。

logrotate 配置文件的参数说明：

• 把自己的日志加入日志轮替

1. 第一种方法是直接在 /etc/logrotate.conf 配置文件中写入该日志的轮替策略。
2. 第二种方法是在 /etc/logrotate.d 目录中新建该日志的轮替文件，在该轮替文件中写入正确的轮替策略，因为该目录中的文件都会被 “include” 到主配置文件中。推荐使用，便于管理维护。

• 日志轮替机制原理

日志轮替之所以可以在指定的时间备份日志，是依赖系统定时任务。在 /etc/cron.daily/ 目录，就会发现这个目录中是有 logrotate 文件(可执行)，logrotate 通过这个文件依赖定时任务执行的。

查看内存日志

内存日志（重启清空），保留在内存中的日志，重启就清空了。

journalctl 可以查看内存日志，

常用指令：

journalctl # 查看全部
journalctl -n 3 # 查看最新3条
journalctl --since 19:00 --until 19:10:10 # 查看起始时间到结束时间的日志，可加日期
journalctl -p err #报错日志
journalctl -o verbose #日志详细内容
journalctl _PID=1245 _COMM=sshd # 查看包含这些参数的日志（在详细日志查看）
或者 journalctl | grep sshd