Linux日志文件

一、日志文件简述

（一）日志文件的功能

1.用于记录系统、程序运行中发生的各种事件。

2.通过阅读日志，有助于诊断和解决系统故障。

（二）日志文件的分类

1.内核及系统日志

由系统服务rsyslog统一进行管理，日志格式基本相似；
主配置文件/etc/rsyslog.conf。

2.用户日志

记录系统用户登录及退出系统的相关信息。

3.程序日志

由各种应用程序独立管理的日志文件，记录格式不一。

（三）日志保存位置

默认于：/var/log目录下。主要文件位置如下：

/var/log/messages：记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网路错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息。
/var/log/cron：记录crond计划任务产生的事件信息。
/var/log/dmesg：记录Linux系统在引导过程中的各种事件信息。
/var/log/maillog：记录进入或发出系统的电子邮件活动。
/var/log/lastlog：记录每个用户最近的登录事件。（二进制格式）
/var/log/secure：记录用户认证相关的安全事件信息。
/var/log/wtmp：记录每个用户登录、注销及系统启动和停机事件。（二进制格式）
/var/run/btmp：记录失败的、错误的登录尝试及验证事件。（二进制格式）

二、日志文件相关命令

查看rsyslog.conf配置文件
其余文件查看使用vim接储存位置即可查看

三、日志消息级别

四、日志分析及管理策略

（一）用户日志分析

1.保存了用户登录、退出系统等相关信息

/var/log/lastlog：最近的用户登录事件；
/var/log/secure：与用户验证相关的安全事件信息；
/var/log/wtmp：用户登录、注销及系统启动和停机事件；
/var/run/utmp：当前登录的每个用户的详细信息。

2.分析工具

users、who、w、last、lastb；
last命令用于查询成功登录到系统的用户记录；
lastb命令用于查询登录失败的用户记录。

（二）程序日志分析

由相应的应用程序独立进行管理。

1.web服务：/var/log/httpd

记录客户访问事件：access_log
记录错误事件：error_log

2.代理服务：/var/log/squid

access.log、cache.log

(三）日志管理策略

1.及时备份和归档

2.延长日志保存期限

3.控制日志访问权限

4.集中管理日志