Linux分析日志

日志的功能

• 用于记录系统、程序运行中发生的各种事件
• 通过阅读日志，有助于诊断和解决系统故障

日志文件的分类

• 内核及系统日志
  • 由系统服务rsyslog统一进行管理，日志格式基本相似
  • 主配置文件/etc/rsyslog.conf
• 用户日志
  • 记录系统用户登录及退出系统的相关信息
• 程序日志
  • 由各种应用程序独立管理的日志文件，记录格式不统一

系统日志保存位置

• 默认位于：/var/log目录下

主要日志文件介绍

内核及公共消息日志	/var/log/messages	记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该日志中获得相关的事件记录信息
计划任务日志	/var/log/cron	记录crond计划任务产生的事件信息
系统引导日志	/var/log/dmesg	记录Linux系统在引导过程中的各种事件信息
邮件系统日志	/var/log/maillog	记录进入或发出系统的电子邮件活动
用户登录日志	/var/log/lastlog /var/log/secure /var/log/wtmp /var/run/btmp	记录用户认证相关的安全事件信息 记录每个用户最近的登录事件。二进制格式 记录每个用户登录、注销及系统启动和停机事件。二进制格式 记录失败的、错误的登录尝试及严重事件。二进制格式

查看主配置文件/etc/rsyslog.conf

• vim /etc/rsyslog.conf #查看rsyslog.conf配置文件
  
• *.info;mail.none;authpriv.none;cron.none      /var/log/messages
  • *.info #表示info等级以上的所有等级的信息都写到对应的日志文件里
  • mail.none #表示某事件的信息不写到messages日志文件里（这里比如是邮件）

内核日志消息的级别

• Linux系统内核日志消息的优先级别（数字等级越小，优先级越高，消息越重要）
  • 0  EMERG（紧急）：会导致主机系统不可以的情况
  • 1 ALERT（警告）：必须马上采取措施解决问题
  • 2 CRIT（严重）：比较严重的情况
  • 3 ERR（错误）：运行出现错误
  • 4 WARNING（提醒）：可能影响系统功能，需要提醒用户的重要事件
  • 5 NOTICE（注意）：不会影响正常功能，但是需要注意的时间
  • 6 INFO（信息）：一般信息
  • 7 DEBUG（调试）：程序或系统调试信息等

由系统服务rsyslog统一管理

• 软件包：rsyslog-7.4.7-16.el7.x86_64
• 主要程序：/sbin/rsyslogd
• 配置文件：/etc/rsyslog.conf

日志记录的一般格式

• vim /var/log/messages

• 

• 举例

• Jun 3 13:26:35 localhost vmusr[2439]:[critical] [GLib-GObject]

  • Jun 3 13:26:35 时间标签
  • localhost 主机名
  • vmusr[2439]: 子系统名
  • [critical] [GLib-GObject] 消息字段

用户日志分析

• 分析工具

• users
  

• who或w
  

• last：查询成功登录到系统的用户记录
  

• lastb：查询登录失败的用户记录
  

程序日志分析

• 由相应的应用程序独立进行管理

• web服务：/var/log/httpd

  • access_log //记录客户访问事件
  • error_log //记录错误事件

• 代理服务： /var/log/squid

  • access.log、cache.log

• 分析工具

• 文本查看、grep过滤检索、Webmin管理套件中查看

• awk、sed等文本过滤、格式化编辑工具

• Webalizer、Awstats等专用日志分析工具

日志管理策略

• 及时作好备份和归档

• 延长日志保存期限

• 控制日志访问权限

• 日志中可能会包含各类敏感信息，如账户、口令等

• 集中管理日志

• 将服务器的日志文件发到统一的日志文件服务器

• 便于日志信息的统一收集、整理和分析

• 杜绝日志信息的意外丢失、恶意篡改或删除