日志文件分析

日志文件

日志的功能

：
用于记录系统、程序运行中发生的各种事件

通过阅读日志，有助于诊断和解决系统故障

日志文件的分类

内核及系统日志==：由系统服务syslog统─进行管理，日志格式基本相似配置文件/etc/rsyslog.conf

用户日志:
记录系统用户登录及退出系统的相关信息

程序日志:

程序在允许的过程中，有什么报错，就会记录下来

---

日志的保存位置：/var/log 目录下

主要日志文件介绍

/var/log/messages:记录Linux内核消息以及各种应用程序的公共日志信息，包括启动，IO错误，网络错误，程序故障等，对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息

/var/log/cron:记录crond计划任务产生的事件信息

/var/log/dmesg:记录Linux系统在引导过程中的各种事件信息

/var/log/maillog:记录进入或发出系统的电子邮件活动

/var/log/secure:记录用户认证相关的安全事件信息

/var/log/lastlog:记录每个用户最近的登录事件，二进制格式

/var/log/wtmp:记录每个用户登录，注销及系统启动和停机事件，二进制格式

/var/run/btmp:记录失败的，错误的登录尝试及验证事件，二进制格式

/var/run/utmp:当前登录的每个用户的详细信息

---

内核以及系统日志

由系统服务 reyslog 统一管理，配置文件保存在 /etc/rsylog.conf

*.info #表示info等级及以上的所有等级的信息都写到对应的日志文件里
mail.none #表示某事件的信息不写到日志文件里（这里比如是邮件)

设备字段说明:
auth				#用户认证时产生的日志

authpriv 		    #ssh、 ftp等登录信息的验证信息
daemon				#—些守护进程产生的日志
ftp					#ETP产生的日志
lpr	       			#打印相关活动
rmark       		#rsyslog服务内部的信息,时间标识
news         		#网络新闻传输协议(nntp)产生的消息。
syslog		 		#系统日志
uucp		 		#Unix-to-Unix Copy两个unix之间的相关通信
console		 		#针对系统控制台的消息。
cron         		#系统执行定时任务产生的日志。
kern         		#系统内核日志
localo~      		#白定义程序使用
rnail        		#邮件日志
user		 		#用户进程

Linux系统内核日志消息的优先级别（数字等级越小，优先级越高，消息越重要）

0		EMERG（紧急）：会导致主机系统不可用的情况。如系统崩溃
1		ALERT（警告）：必须马上采取措施解决的问题。如数据库被破坏
2		CRIT（严重）：比较严重的情况。如硬盘错误，可能会阻碍程序的部分功能
3		ERR（错误）：运行出现错误。不是非常紧急，尽快修复的
4		WARNING（提醒）：可能影响系统功能，需要提醒用户的重要事件。不是错误，如磁盘用了			85%等
5		NOTICE（注意）：不会影响正常功能，但是需要注意的事件。无需处理
6		INFO（信息）：一般信息。正常的系统信息
7		DEBUG（调试）：程序或系统调试信息等。包含详细开发的信息，调试程序时使用
		none：没有优先级,不记录任何日志消息。

---

日志记录的一般格式

more /var/log/messages

Nov 27 15:10:35 zzz NetworkManager[8821]:   [1637997035.9410] dhcp4 (ens33):   plen 24 (255.255.255.0)

时间标签：Nov 27 15:10:35	消息发出的日期和时间
主机名：zzz	生成消息的计算机的名称
子系统名：NetworkManager[8821]:	发出消息的应用程序的名称
消息字段：  [1637997035.9410]	
消息的具体内容：dhcp4 (ens33):   plen 24 (255.255.255.0)

分析工具

last 命令用于查询成功登录到系统的用户记录

[root@zzz log]# last
root     pts/1        192.168.232.1    Sat Nov 27 16:50   still logged in   
root     pts/4        192.168.232.1    Sat Nov 27 13:38   still logged in   
root     pts/3        :0               Sat Nov 27 13:37   still logged in   
root     pts/2        :0               Sat Nov 27 13:36   still logged in 

lastb 命令用于查询登录失败的用户记录

[root@zzz log]# lastb
root     ssh:notty    zzz              Sat Nov 27 17:08 - 17:08  (00:00)    
root     ssh:notty    zzz              Sat Nov 27 17:08 - 17:08  (00:00)    
root     ssh:notty    192.168.232.1    Wed Nov  3 17:08 - 17:08  (00:00)    
root     :0           :0               Sun Oct 31 17:02 - 17:02  (00:00) 

---

程序日志分析

由相应的应用程序独立进行管理,是由开发者写入的

比如 Web服务日志，位于/var/log/httpd/

access_log ##记录客户访问事件

error_log ##记录错误事件

---

日志管理策略

需要及时做好日志的备份和归档

延长日志保存期限

控制日志访问权限：日志中可能包含各类敏感信息，如账户，口令等

集中管理日志：将服务器的日志文件发到统一的日志文件服务器，便于日志信息的统一收集，整理和分析，杜绝日志信息的意外丢失，恶意篡改和删除

---

配置日志服务器收集日志

发送服务器：客户端 192.168.232.130

收集服务器：服务端 192.168.232.129

1.两个服务器先关闭防火墙 关闭深层防护

setenforce stop firewalld
systemctl stop firewalld
systemctl disable firewalld

2.进客户端 /etc/rsyslog.conf进行配置

把TCP 和UDP 两个注释取消掉，打开端口模块

再将配置信息写入

$template myFormat, "%timestamp% %hostname% %syslogseverity-text% %syslogtag% %msg%\n"
$ActionFileDefaultTemplate myFormat
*.info;mail.none;authpriv.none;cron.none              @@192.168.232.129:514

重启服务

[root@send ~]# systemctl restart rsyslog

查看端口信息

[root@send ~]# netstat -anutp | grep 514

客户端设置完毕

---

接下来设置服务端

1.进 /etc/rsyslog.conf 配置

还是TCP 和UDP 两个注释取消掉，打开端口模块

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-y0zPaQXk-1638082066553)(C:\Users\zhuquanhao\Desktop\截图命令集合\linux\日志文件管理\6.png)]

$AllowedSender tcp, 192.168.232.0/24  #允许 192.168.232.0 网段内的主机以tcp协议来传输

$template Remote,"/data/log/%fromhost-ip%/%fromhost-ip%_%$YEAR%-%$MONTH%-%$DAY%.log"  #定义模板，接受日志文件路径，区分了不同主机的日志

:fromhost-ip, !isequal, "127.0.0.1" ?Remote  #过滤掉 server 本机的日志

2.创建/data/log/目录

mkdir /data/log/

3.重启服务

[root@recive log]# systemctl restart rsyslog

4.cd 到 /data/log/目录当中，ls看一下

5.在客户端发送一个日志文件 看服务端能不能同步日志信息

客户端：

[root@send ~]# logger "hello world"

服务端：

---

journalctl日志管理工具

日志管理工具journalctl是centos7上专有的日志管理工具，该工具是从message这个文件里读取信息。

Systemd统一管理所有Unit的启动日志。带来的好处就是，可以只用journalctl一个命令，查看所有日志（内核日志和应用日志)日志的配置文件是/etc/ systemd/journald.conf

查看最新的日志文件，从尾部开始查看

[root@send ~]# journalctl -r

查看内核日志

[root@send ~]# journalctl -k

查看系统本次启动日志

[root@send ~]# journalctl -b 0

查看上一次启动的日志

[root@send ~]# journalctl -b -1

显示尾部指定 20 行的日志，并动态更新

[root@send ~]# journalctl -n 20 -f

查看某个服务的日志（比如防火墙）

[root@send ~]# journalctl -u firewalld

查看指定进程的日志

[root@send ~]# journalctl _PID=1

查看指定用户的日志

[root@send ~]# journalctl _UID=0 --since today

查看报错日志

[root@send ~]# journalctl -xe