文章目录
前言
日志是Linux 安全结构中的一个重要内容，不同的日志文件记载了不同类型的信息；熟悉Linux系统中常见的日志文件对于诊断和解决问题很有帮助，有助于管理员快速定位故障点
一、inode和block概述
-
文件数据包括元信息与实际数据
-
文件存储在硬盘上，硬盘最小存储单位是“扇区”，每个扇区存储512字节
-
block（块）
- 连续的八个扇区组成一个block
- 是文件存取的最小单位 -
inode（索引节点）
-中文译名为“索引节点”，也叫i节点
用于存储文件元信息
1.block的内容
文件是存储在硬盘上的，硬盘的最小存储单位叫做“扇区”(sector)，每个扇区存储512字节。
一般连续八个扇区组成一个"块”(block)，一个块是4K大小，是文件存取的最小单位。操作系统读取硬盘的时候，是一次性连续读取多个扇区，即一个块一个块的读取的。
2.inode的内容
2.1 indoe包含文件的元信息
- 文件的字节数
- 文件拥有者的User ID
- 文件Group ID
- 文件的读、写、执行权限
- 文件的时间戳
文件数据包括实际数据与元信息(类似文件属性)。文件数据存储在“块"中，
存储文件元信息(比如文件的创建者、创建日期、文件大小、文件权限等)的区域就叫做inode。
因此，一个文件必须占用一个inode，并且至少占用一个block。
用stat命令可以查看某个文件的inode信息
例： stat a.txt
2.2 Linux系统文件三个主要的时间属性
- ctime(change time)
- 最后一次改变文件或目录（属性)的时间
- atime(access time)
- 最后一次访问文件或目录的时间
- mtime(modify time)
- 最后一次修改文件或目录(内容)的时间
[root@localhost ~]# stat a.txt
文件："a.txt"
大小：5 块：8 IO 块：4096 普通文件
设备：803h/2051d Inode：67165799 硬链接：1
权限：(0644/-rw-r--r--) Uid：( 0/ root) Gid：( 0/ root)
环境：unconfined_u:object_r:admin_home_t:s0
最近访问：2021-08-20 19:59:11.314459985 +0800
最近更改：2021-08-20 20:10:52.447507717 +0800
最近改动：2021-08-20 20:10:52.447507717 +0800
创建时间：-
2.3 目录文件的结构
- 目录也是一种文件
- 目录文件的结构
- inode不包含文件名。文件名是存放在目录当中的。Linux 系统中一切皆文件，因此目录也是一种文件。
- 每个inode都有一个号码，操作系统用inode号码来识别不同的文件。
- Linux系统内部不使用文件名，而使用inode号码来识别文件。
- 对于系统来说，文件名只是inode号码便于识别的别称，文件名和inode号码是一一对应关系，每个inode号码对应一个文件名。
3.inode的号码
3.1用户通过文件名打开文件时，系统内部的过程
- 系统找到这个文件名对应的inode号码
- 通过inode号码，获取inode信息
- 根据inode信息，找到文件数据所在的block，读出数据
所以，当用户在Linux系统中试图访问一个文件时，系统会先根据文件名去查找它对应的inode号码:通过inode号码，获取inode信息;根据inode信息，看该用户是否具有访问这个文件的权限;如果有，就指向相对应的数据block，并读取数据。
3.2 查看inode号码的方法
3.2.1 ls -i 命令：查看文件名对应的inode号码
[root@localhost ~]# ls -i
67165794 anaconda-ks.cfg 67165844 mycd.iso 67165820 视频 35012 下载
67165799 a.txt 67165819 公共 33564486 图片 35013 音乐
67167359 initial-setup-ks.cfg 33564485 模板 102013025 文档 102013024 桌面
3.2.2 stat命令：查看文件inode信息中心的inode号码
[root@localhost ~]# stat a.txt
文件："a.txt"
大小：5 块：8 IO 块：4096 普通文件
设备：803h/2051d Inode：67165799 硬链接：1
权限：(0644/-rw-r--r--) Uid：( 0/ root) Gid：( 0/ root)
环境：unconfined_u:object_r:admin_home_t:s0
最近访问：2021-08-20 20:11:05.433508601 +0800
最近更改：2021-08-20 20:10:52.447507717 +0800
最近改动：2021-08-20 20:10:52.447507717 +0800
创建时间：-
4.文件存储小结
4.1 硬盘分区后的结构
4.2 访问文件的简单流程
5.inode的大小
- inode也会消耗硬盘空间，所以格式化的时候，操作系统自动将硬盘分成两个区域。一个是数据区，存放文件数据:另一个是inode区，存放inode所包含的信息。每个inode的大小，一般是128字节或256字节。
- 通常情况下不需要关注单个inode的大小，而是需要重点关注inode.总数。inode的总数在格式化时就给定了，执行"df-i"命令即可查看每个硬盘分区对应的的inode总数和已经使用的inode数量。
[root@localhost ~]# df -iTh
文件系统 类型 Inode 已用(I) 可用(I) 已用(I)% 挂载点
/dev/sda3 xfs 28M 151K 28M 1% /
devtmpfs devtmpfs 225K 400 224K 1% /dev
tmpfs tmpfs 228K 1 228K 1% /dev/shm
tmpfs tmpfs 228K 558 228K 1% /run
tmpfs tmpfs 228K 16 228K 1% /sys/fs/cgroup
/dev/sda1 xfs 250K 328 250K 1% /boot
tmpfs tmpfs 228K 9 228K 1% /run/user/42
tmpfs tmpfs 228K 1 228K 1% /run/user/0
6.inode的特殊作用
由于inode号码与文件名分离,导致一些Unix/Linux系统具有以下的现象：
- 文件名包含特殊字符，可能无法正常删除。这时直接删除inode，能够起到删除文件的作用;
root@localhost ~]# ls -i //可以看到一个一串乱码的文件
67165808 123%??@#&.txt 67165844 mycd.iso 33564486 图片 102013024 桌面
67165794 anaconda-ks.cfg 67165819 公共 102013025 文档
67165799 a.txt 33564485 模板 35012 下载
67167359 initial-setup-ks.cfg 67165820 视频 35013 音乐
[root@localhost ~]# find ./ -inum 67165808 -delete //直接删除inode
[root@localhost ~]# ls //在查看就没了
anaconda-ks.cfg initial-setup-ks.cfg 公共 视频 文档 音乐
a.txt mycd.iso 模板 图片 下载 桌面
- 移动文件或重命名文件，只是改变文件名，不影响inode 号码;
- 打开一一个文件以后，系统就以inode 号码来识别这个文件，不再考虑文件名。
- 文件数据被修改保存后，会生成-一个新的inode 号码。
[root@localhost home]# ls -i //查看inode号
102127939 test.txt
root@localhost home]# mv test.txt a.txt //重命名test.txt为a.txt
[root@localhost home]# ls -i //查看inode号，发现并未改变
102127939 a.txt
[root@localhost home]# vim a.txt //编辑a.txt
[root@localhost home]# ls -i //查看inode号，发现已生成一个新的inode号
102127975 a.txt
二、日志文件
1.日志的功能
- 用于记录系统、程序运行中发生的各种事件
- 通过阅读日志，有助于诊断和解决系统故障
2.日志文件的分类
- 内核及系统日志
-由系统服务rsyslog统一进行管理，日志格式基本相似 - 用户日志
-记录系统用户登录及退出系统的相关信息 - 程序日志
-由各种应用程序独立管理的日志文件，记录格式不统一
3.日志保存位置
- 内核及系统日志由系统服务rsyslog 统一管理，主配置文件为/etc/rsyslog.conf
- Linux操作系统本身和大部分服务器程序的日志文件都默认放在目录/var/log/下。
4. 常见的一些日志文件
-
内核及公共消息日志:
/var/log/messages: 记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网络错误、程序故障等。
对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息。 -
计划任务日志:
/var/log/cron: 记录crond计划任务产生的事件信息。 -
系统引导日志:
/var/log/dmesg: 记录Linux系统在引导过程中的各种事件信息。 -
邮件系统日志:
/var/log/maillog: 记录进入或发出系统的电子邮件活动。 -
用户登录日志:
/var/log/secure: 记录用户认证相关的安全事件信息。
/var/log/lastlog: 记录每个用户最近的登录事件。二进制格式
/var/log/wtmp: 记录每个用户登录、注销及系统启动和停机事件。二进制格式
/var/run/btmp: 记录失败的、错误的登录尝试及验证事件。二进制格式
vim /etc/rsyslog.conf #查看rsyslog.conf配置文件
*.info;mail.none;authpriv.none;cron.none /var/log/messages
#*.info #表示info等级及以，上的所有等级的信息都写到对应的日志文件里
#mail.none #表示某事件的信息不写到日志文件里( 这里比如是邮件)
5.日志消息的级别
- Linux系统内核日志消息的优先级别(数字等级越小，优先级越高，消息越重要) :
0 EMERG(紧急):会导致主机系统不可用的情况。
1 ALERT(警告):必须马上采取措施解决的问题。
2 CRIT(严重):比较严重的情况。
3 ERR (错误) :运行出现错误。
4 WARNING(提醒):可能影响系统功能，需要提醒用户的重要事件。
5 NOTICE (注意) :不会影响正常功能，但是需要注意的事件。
6 INFO(信息):一般信息。
7 DEBUG(调试):程序或系统调试信息等。
6.程序日志分析
6.1 由相应的应用程序独立进行管理
-
Web服务:/var/log/httpd/
access_log、error_log -
代理服务:/var/log/squid/
access.log、cache.log. -
FTP服务:lvar/log/xferlog
6.2 分析工具
- 文本查看、grep过滤检索、Webmin管理套件中查看
- awk、sed等文本过滤、格式化编辑工具
- Webalizer…Awstats等专用志分析工具
7.日志管理策略
- 及时做好备份和归档
- 延长日志保存期限
- 控制日志访问权限
-日志中可能会包含各类敏感信息，如账户、口令等 - 集中管理日志
-将服务器的日志文件发到统一的日志文件服务器
-便于日志信息的统一收集、整理和分析
-杜绝日志信息的意外丢失、恶意篡改或删除
总结
- block与inode
-八个扇区组成一个"块”(block)，一个块是4K大小，是文件存取的最小单位
-每个inode都有一个号码，操作系统用inode号码来识别不同的文件 - Linux主要包含的日志文件
-内核及公共消息日志:/var/log/messages
-计划任务日志:/var/1og/cron
-系统引导日志:/var/log/dmesg
-邮件系统日志:/var/log/maillog - Linux系统的日志消息级别
0 EMERG(紧急)
1 ALERT(警告)
2 CRIT(严重)
3 ERR (错误)
4 WARNING(提醒)
5 NOTICE (注意) 。
6 INFO(信息)。
7 DEBUG(调试) - Linux系统中用户日志的查询命令
-who、w、users、last、lastb
扫一扫
671
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
