一、日志文件简述
(一)日志文件的功能
1.用于记录系统、程序运行中发生的各种事件。
2.通过阅读日志,有助于诊断和解决系统故障。
(二)日志文件的分类
1.内核及系统日志
由系统服务rsyslog统一进行管理,日志格式基本相似;
主配置文件/etc/rsyslog.conf。
2.用户日志
记录系统用户登录及退出系统的相关信息。
3.程序日志
由各种应用程序独立管理的日志文件,记录格式不一。
(三)日志保存位置
默认于:/var/log目录下。主要文件位置如下:
/var/log/messages:记录Linux内核消息及各种应用程序的公共日志信息,包括启动、IO错误、网路错误、程序故障等。对于未使用独立日志文件的应用程序或服务,一般都可以从该日志文件中获得相关的事件记录信息。
/var/log/cron:记录crond计划任务产生的事件信息。
/var/log/dmesg:记录Linux系统在引导过程中的各种事件信息。
/var/log/maillog:记录进入或发出系统的电子邮件活动。
/var/log/lastlog:记录每个用户最近的登录事件。(二进制格式)
/var/log/secure:记录用户认证相关的安全事件信息。
/var/log/wtmp:记录每个用户登录、注销及系统启动和停机事件。(二进制格式)
/var/run/btmp:记录失败的、错误的登录尝试及验证事件。(二进制格式)
二、日志文件相关命令
查看rsyslog.conf配置文件
其余文件查看使用vim接储存位置即可查看
三、日志消息级别
四、日志分析及管理策略
(一)用户日志分析
1.保存了用户登录、退出系统等相关信息
/var/log/lastlog:最近的用户登录事件;
/var/log/secure:与用户验证相关的安全事件信息;
/var/log/wtmp:用户登录、注销及系统启动和停机事件;
/var/run/utmp:当前登录的每个用户的详细信息。
2.分析工具
users、who、w、last、lastb;
last命令用于查询成功登录到系统的用户记录;
lastb命令用于查询登录失败的用户记录。
(二)程序日志分析
由相应的应用程序独立进行管理。
1.web服务:/var/log/httpd
记录客户访问事件:access_log
记录错误事件:error_log
2.代理服务:/var/log/squid
access.log、cache.log