系统日志管理

 

 

系统日志管理

 

日志文件的分类(日志保存在/var/log下)

 

内核及系统日志

 

由系统服务syslog统一进行管理

 

　　

/var/log/messages   内核及公共消息日志
    /var/log/cron        计划任务日志
    /var/log/dmesg        系统引导日志
    /var/log/maillog    邮件系统日志
    /var/log/secure        记录与访问限制相关日志

 

用户日志

 

记录系统用户登录及退出系统的相关信息

 

　　/var/log/lastlog    最近的用户登录事件
    /var/log/wtmp        用户登录、注销及系统开关机
    /var/log/btmp         失败的用户登陆事件
    /var/run/utmp        当前登录的每个用户详细信息

 

 

程序日志

 

由各种应用程序独立管理的日志文件，记录格式不统一
Web服务的access_log、error_log
Squid代理服务的access.log、cache.log
FTP服务的Xferlog

 

用户日志分析

 

users    
who    比w更加简洁
w    查看当前登陆的用户
last    最近系统登陆情况
lastb    最近系统登陆失败的情况

 

系统及内核日志格式

 

时间标签       主机名    子系统名称    消息

 

syslogd管理日志：5版本

 

配置文件：/etc/syslog.conf

格式如下

 

服务类别.日志级别        日志消息发送位置

配置文件定义格式为：

facility.priority        action

facility,可以理解为日志的来源或设备目前常用的facility有以下几种：

 auth                  # 认证相关的 
    authpriv              # 权限,授权相关的 
    cron                  # 任务计划相关的 
    daemon                # 守护进程相关的 
    kern                  # 内核相关的 
    lpr                   # 打印相关的 
    mail                  # 邮件相关的 
    mark                  # 标记相关的 
    news                  # 新闻相关的 
    security             # 安全相关的,与auth 类似  
    syslog               # syslog自己的 
    user                 # 用户相关的 
    uucp                 # unix to unix cp 相关的 
    local0 到 local7     # 用户自定义使用 
    *                    # *表示所有的facility

 

priority(log level)日志的级别,一般有以下几种级别(从低到高)

 

 debug           # 程序或系统的调试信息 
    info            # 一般信息
    notice          # 不影响正常功能,需要注意的消息 
    warning/warn    # 可能影响系统功能,需要提醒用户的重要事件 
    err/error       # 错误信息 
    crit            # 比较严重的 
    alert           # 必须马上处理的 
    emerg/panic     # 会导致系统不可用的 
    *               # 表示所有的日志级别 
    none            # 跟* 相反,表示啥也没有

 

 

日志消息的级别

 

0  EMERG（紧急）        会导致主机系统不可用的情况
1  ALERT（警告）        必须马上采取措施解决的问题
2 CRIT（严重） 比较严重的情况 3 ERR（错误） 运行出现错误 4 WARNING（提醒） 可能会影响系统功能的事件 5 NOTICE（注意） 不会影响系统但值得注意 6 INFO（信息） 一般信息 7 DEBUG（调试） 程序或系统调试信息等

 

表示消息类别，例如：

auth、authpriv、cron、daemon、kern、lpr、mail、syslog、user

 

action(动作)日志记录的位置

 

系统上的绝对路径    # 普通文件 如： /var/log/xxx 
    |                   # 管道  通过管道送给其他的命令处理 
    终端              # 终端   如：/dev/console 
    @HOST               # 远程主机 如： @10.0.0.1      
    用户              # 系统用户 如： root 
    *                   # 登录到系统上的所有用户，一般emerg级别的日志是这样定义的

 

定义格式例子：

mail.info   /var/log/mail.log # 表示将mail相关的,级别为info及 
                              # info以上级别的信息记录到/var/log/mail.log文件中 
auth.=info  @10.0.0.1         # 表示将auth相关的,基本为info的信息记录到10.0.0.1主机上去 
                              # 前提是10.0.0.1要能接收其他主机发来的日志信息 
user.!=error                  # 表示记录user相关的,不包括error级别的信息 
user.!error                   # 与user.error相反 
*.info                        # 表示记录所有的日志信息的info级别 
mail.*                        # 表示记录mail相关的所有级别的信息 
*.*                           # 你懂的. 
cron.info;mail.info           # 多个日志来源可以用";" 隔开 
cron,mail.info                # 与cron.info;mail.info 是一个意思 
mail.*;mail.!=info            # 表示记录mail相关的所有级别的信息,但是不包括info级别的

 

 

rsyslog管理日志：6版本

 

配置文件：/etc/rsyslog.conf
格式如下

服务类别.日志级别           日志消息发送位置

 

日志消息的级别

 

0  EMERG（紧急）        会导致主机系统不可用的情况
1  ALERT（警告）        必须马上采取措施解决的问题
2  CRIT（严重）        比较严重的情况
3  ERR（错误）        运行出现错误
4  WARNING（提醒）    可能会影响系统功能的事件
5  NOTICE（注意）        不会影响系统但值得注意
6  INFO（信息）        一般信息
7  DEBUG（调试）        程序或系统调试信息等

 

 

连接符号

. 记录大于等于此等级
.= 只记录等于此等级的信息
.! 不等于此等级，也就是记录此等级之外的信息

 

表示消息类别，例如：

auth、authpriv、cron、daemon、kern、lpr、mail、syslog、user

 

配置文件定义格式为:

facility.priority        action

 

facility,可以理解为日志的来源或设备目前常用的facility有以下几种：

 

　　auth                  # 认证相关的 
    authpriv              # 权限,授权相关的 
    cron                  # 任务计划相关的 
    daemon                # 守护进程相关的 
    kern                  # 内核相关的 
    lpr                   # 打印相关的 
    mail                  # 邮件相关的 
    mark                  # 标记相关的 
    news                  # 新闻相关的 
    security             # 安全相关的,与auth 类似  
    syslog               # syslog自己的 
    user                 # 用户相关的 
    uucp                 # unix to unix cp 相关的 
    local0 到 local7     # 用户自定义使用 
    *                    # *表示所有的facility

 

priority(log level)日志的级别,一般有以下几种级别(从低到高)

　　debug           # 程序或系统的调试信息 
    info            # 一般信息
    notice          # 不影响正常功能,需要注意的消息 
    warning/warn    # 可能影响系统功能,需要提醒用户的重要事件 
    err/error       # 错误信息 
    crit            # 比较严重的 
    alert           # 必须马上处理的 
    emerg/panic     # 会导致系统不可用的 
    *               # 表示所有的日志级别 
    none            # 跟* 相反,表示啥也没有

 

action(动作)日志记录的位置

 

系统上的绝对路径    # 普通文件 如： /var/log/xxx 
    |                   # 管道  通过管道送给其他的命令处理 
    终端              # 终端   如：/dev/console 
    @HOST               # 远程主机 如： @10.0.0.1      
    用户              # 系统用户 如： root 
    *                   # 登录到系统上的所有用户，一般emerg级别的日志是这样定义的

 

定义格式例子：

mail.info   /var/log/mail.log # 表示将mail相关的,级别为info及 
                              # info以上级别的信息记录到/var/log/mail.log文件中 
auth.=info  @10.0.0.1         # 表示将auth相关的,基本为info的信息记录到10.0.0.1主机上去 
                              # 前提是10.0.0.1要能接收其他主机发来的日志信息 
user.!=error                  # 表示记录user相关的,不包括error级别的信息 
user.!error                   # 与user.error相反 
*.info                        # 表示记录所有的日志信息的info级别 
mail.*                        # 表示记录mail相关的所有级别的信息 
*.*                           # 你懂的. 
cron.info;mail.info           # 多个日志来源可以用";" 隔开 
cron,mail.info                # 与cron.info;mail.info 是一个意思 
mail.*;mail.!=info            # 表示记录mail相关的所有级别的信息,但是不包括info级别的

 

 

日志的管理策略

 

 

一般化措施

 

重要日志做好备份/延长保存期限
控制日志的访问权限

 

集中管理日志

 

方便消息的统一收集、整理和分析
避免日志的意外丢失、防恶意篡改记录

 

 

logrotate日志轮转

 

logrotate轮转

 

减小日志大小，降低分析难度
丢弃过期日志节省空间
结合cron每天执行

 

软件包

logrotate

 

主配置文件/etc/logrotate.conf（daily, weekly, monthly, or yearly)

　　weekly      轮转频率，默认每周
    rotate 4      保留4个轮转备份
    create      执行轮转后创建新文件
    #compress      是否压缩日志
    dateext        以年月日时间取代后缀1 2 3 ...
    include /etc/logrotate.d          包含此目录下的配置
    /var/log/wtmp {          启用轮转的日志文件
            monthly          每月轮转一次
        missingok          丢失不提示
            notifempty         如果为空则不轮转
            minsize 1M          日志达到1MB才开始轮转
            create 0664 root utmp      建新文件并设权限
            rotate 1          只保留一个备份
        }    

 

轮询完会生成一个空的message文件

如何轮询：

1.假如以星期为轮询周期。如果系统有一个message文件，过了一周后会生成一个空的message文件和message1（原来的message），第二周就会生成message2文件（message1改为message2），依次类推

 

 

logrotate    手工执行轮转

-v    启动显示模式
    -f    强制rotate

 

 

/var/lib/logrotate.status

** size生效的话，会忽略轮转频率
    ** 轮转频率生效的话，会忽略size
    ** 配置的顺序：后生效的会覆盖之前的语句

 

来源：oschina

链接：https://my.oschina.net/u/4298485/blog/3937153