Linux日志

2022-10-16 20:25:09

Linux日志

一、日志文件

  1. 日志的功能
  • 用于记录系统、程序运行中发生的各种事件
  • 通过阅读日志，有助于诊断和解决系统故障
  1. 日志文件分类
  • 内核及系统日志
    • 由系统服务rsyslog统一进行管理，日志格式基本相似
    • 主配置文件/etc/rsyslong.conf
  • 用户日志
    • 记录系统用户登录及退出系统的相关信息
    • 分析工具：
      • user、who、w、last、lastb
      • last命令用于查询成功登录到系统的用户记录
      • lastb命令用于查询登录失败的用户记录
  • 程序日志
    • 由各种应用程序独立管理的日志文件，记录格式不统一
  1. 日志保存位置
  • 默认位于：/var/log目录下
  1. 主要日志文件介绍
  • 内核及公共消息日志：记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息。 /var/log/messages
  • 计划任务日志：记录crond计划任务产生的事件信息 /var/log/cron
  • 系统引导日志：记录Linux系统在引导过程中的各种事件信息 /var/log/dmesg
  • 邮件系统日志：记录进入或发出系统的电子邮件活动。/var/log/maillong
  • 用户登录日志：
    • /var/log/lastlog：记录每个用户的登录事件。二级制格式
    • /var/log/secure：记录用户认证相关的安全事件信息。
    • /var/log/wtmp：记录每个用户登录、注销及系统启动和停机事件。二进制格式
    • /var/run/btmp：记录失败的、错误的登录尝试及验证事件。二级制格式

二、内核及系统日志

  • 由系统服务rsyslog统一管理
    • 软件包：rsyslog-7.4.7-16.el7.x86_64
    • 主要程序：/sbin/rsyslogd
    • 配置文件：/etc/rsyslog.conf

vim /etc/rsyslog.conf #查看rsyslog.conf配置文件，规则配置格式：【设备、级别 动作】

*.info;mail.none;authpriv.none;cron.none /var/log/messages

*.info #表示info等级及以上的所有等级的信息都写到对应的日志文件里

mail.none #表示某事件的信息不写到日志文件里（这里比如是邮件）

  • 设备字段说明：

    • auth：用户认证时产生的日志
    • authpriv：ssh、ftp等登录信息的验证信息
    • daemon：一些守护进程产生的日志
    • ftp：ftp产生的日志
    • lpr：打印相关活动
    • mark：rsyslog服务内部的信息，时间标识
    • news：网络新闻传输协议（nntp）产生的消息
    • syslog：系统日志
    • uucp：Unix-to-Unix Copy 两个unix之间的相关通信
    • console：针对系统控制台的消息
    • cron：系统执行定时任务产生的日志
    • kern：系统内核日志
    • local10~local7：自定义程序使用
    • mail：邮件日志
    • user：用户进程

  • Linux系统内核日志消息的优先级别（数字等级越小，优先级越高，消息越重要）

    • 0 EMERG（紧急）：会导致主机系统不可用的情况。如系统崩溃
    • 1 ALERT（警告）：必须马上采取措施解决的问题。如数据库被破坏
    • 2 CRIT（严重）：比较严重的情况。如硬盘错误，可能会阻碍程序的部分功能
    • 3 ERR（错误）：运行出现错误。不是非常紧急，尽快修复的
    • 4 WARNING（提醒）：可能影响系统功能，需要提醒用户的重要事件。不是错误，如磁盘用了85%等
    • 5 NOTICE（注意）：不会影响正常功能，但是需要注意的事件。无需处理
    • 6 INFO（信息）：一般信息。正常的系统信息
    • 7 DEBUG（调试）：程序或系统调试信息等。包含详细开发的信息，调试程序时使用
    • none：没有优先级，不记录任何日志消息

例：

mail.info /var/log/maillog:比指定级别更高的日志级别，包括指定级别自身，保存到/var/log/maillog中

mail.=info /var/log/maillog:明确指定日志级别为info，保存至/var/log/maillog

mail.!info /var/log/maillog:除了指定的日志级别（info）所有日志级别信息，保存至/var/log/maillog

*.info /var/log/maillog:所有facility的info级别，保存至/var/log/maillog

mail.* /var/log/maillog:mail的所有日志级别信息，都保存至/var/log/maillog

mail.notice;news.info /var/log/maillog:mail的notice以上的日志级别和news的info以上的级别保存至/var/log/maillog

mail,news.crit -/var/log/maillog:mail和news的crit以上的日志级别保存/var/log/maillog中：“-”代表异步模式

  • 日志记录的一般格式

公共日志/var/log/messages

Jun 3 13:26:35 localhost vmusr[2439]: [critical] [GLib-GObject]

时间标签 主机名 子系统名 消息字段

时间标签：消息发出的日期和时间

主机名：生成消息的计算机名称

子系统名称：发出消息的应用程序的名称

消息：消息的具体内容

三、程序日志分析

  • 由相应的应用程序独立进行管理
    • Web服务：/var/log/httpd/
      • access_log 记录客户访问事件
      • error_log 记录错误事件
    • 代理服务：/var/log/squid/
      • access.log、cache.log
    • 分析工具
    • 文本查看、grep过滤检索、Webmin管理套件中查看
    • awk、sed等文本过滤、格式化编辑工具
    • Webalizer、Awstats等专用日志分析工具

四、日志管理策略

  • 及时作好备份和归档
  • 延长日志保存期限
  • 控制日志访问权限
    • 日志中可能会包含各类敏感信息，如账户、口令等
  • 集中管理日志
    • 将服务器的日志文件发到统一的日志文件服务器
    • 便于日志信息的统一收集、整理和分析
    • 杜绝日志信息的意外丢失、恶意篡改或删除
上一篇：Codeforces Round #585 (Div. 2)


下一篇：Mydoom样本分析报告