linux文件系统与日志分析

日志文件2-1

用于记录系统，程序运行中发生的各种事件
通过阅读日志，有助于诊断和解决系统故障

日志文件系统

内核及系统日志
由系统服务rsyslog统一进行管理，日志格式基本相似
用户日志
记录系统用户登录及退出系统的相关信息
程序日志
由各种应用程序独立管理的日志文件，记录格式不统一

日志文件2-2

日志保存位置
默认位置：/var/log目录下
主要日志文件介绍


补充：/var/log/lastlog记录每个用户最近的登录时间
/var/log/sesure记录用户认证相关的安全事件信息
/var/log/wtmp/记录每个用户登录，注销及系统启动和停机事件
/var/log/btmp记录错误的，失败的登陆尝试及验证时间

内核及系统日志

由系统服务rsyslog统一管理
软件包：rsyslog-7.4.7-16.e17.x86_64
主要程序:/sbin/rsyslogd
配置文件:/etc/rsyslog.conf
日志的级别

内核及系统日志3-3

日志记录的一般格式
more /var/log/messages

用户日志分析

保存了用户登录，提u出系统等相关信息
/var/log/lastlog：最近的用户登陆事件
/var/log/wtmp：用户登录，注销及系统开关机事件
/var/run/utmp：当前登录的每个用户的详细信息
/var/log/secure：与用户验证相关的安全性事件
分析工具
users，who，w，last，lastb

程序日志分析

由相应的应用程序独立进行管理
web服务：/var/log/httpd/
access_log,error_log
代理服务：/var/log/squid/
access.log，cache.log，
FTP服务;/var/log/xferlog
分析工具
文本查看，grep过滤检索，Webmin管理套件中查看
awk，sed等文本过滤，格式化编辑工具
Webalizer，Awstats等专用日志分析工具

日志管理策略

及时作好备份和归档
延长日志保存日期
控制日志访问权限
日志中可能会包含各类敏感信息，如账户，口令等
集中管理日志
将服务器的日志文件发送到统一的日志文件服务器
便于日志信息的统一收集，整理和分析
杜绝日志信息的意外丢失，恶意篡改或删除