Linux：日志文件分析

日志文件的分类

1
内核及系统日志
由系统服务syslog统一进行管理，日志格式基本相似

2

用户日志：记录系统用户登录及退出系统的相关信息

3

程序日志；由各种应用程序独立管理的日志文件，记录格式不统一

---

日志文件 

日志保存位置：/var/log 目录下（默认）  

/var/log/messages：记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息。

计划任务日志
/var/log/cron：记录crond计划任务产生的事件信息。

系统引导日志
/var/log/dmesg：记录Linux系统在引导过程中的各种事件信息。

邮件系统日志
/var/log/maillog：记录进入或发出系统的电子邮件活动。

rpm软件相关日志
/var/log/rpmpkgs：记录系统中安装的各rpm包列表信息。

用户登录日志
/var/log/lastlog：记录每个用户最近的登录事件。

/var/log/secure：记录用户认证相关的安全事件信息。
/var/log/wtmp：记录每个用户登录、注销及系统启动和停机事件。
/var/run/btmp：记录失败的、错误的登录尝试及验证事件。

---

日志消息的级别（日志消息的级别，级别数字越小的日志消息反映的问题越严重）

  0 EMERG（紧急）：会导致主机系统不可用的情况

  1 ALERT (警告） ：必须马上采取措施解决的问题

  2 CRIT（严重）：比较严重的情况

  3 ERR（错误）：运行出现错误

  4 WARNING(提醒）：可能会影响系统功能的事件

  5 NOTICE(注意）：不会影响系统但值得注意

  6 INFO(信息）：一般信息

  7 DEBUG（调试）：程序或系统调试信息等

---

用户日志：

保存了用户登录、退出系统等相关信息

/var/log/secure:与用户验证相关的安全性事件

/var/log/lastlog:最近的用户登录事件

/var/log/wtmp:用户登录、注销及系统开、关机事件

/var/log/utmp:当前登录的每个用户的详细信息

 分析工具：users ,who ,w , last , lastb

---

查看用户登录 和 用户日志信息

现在创建三个用户分别为 ： test1  test2  test3

将三位用户分别登录至Linux的tty上

ctrl + alt +f1  ——    f6

users ,who ,w这三个用于查看当前在线用户

 

 

 last——————成功登录用户信息

lastb——————查询登录失败的用户记录（用户名错误、密码不正确）

 

 现在去登录一下test2并故意输入错误密码回root上看效果

---

查看 /var/log/secure 可以看见对用户的部分操作