近期做筆試題目，考察Linux日志配置文件相關(guān)內(nèi)容，由于對(duì)此不了解，故看鳥(niǎo)哥的私房菜中的認(rèn)識(shí)與分析日志文件一章，總結(jié)如下相關(guān)信息。
日志文件可以記錄一個(gè)時(shí)間的何時(shí)、何地、何人、何事四大信息，故系統(tǒng)出現(xiàn)故障時(shí)，可以查詢?nèi)罩疚募?
系統(tǒng)的日志文件默認(rèn)都集中放置到/var/log/目錄內(nèi)，其中又以message記錄的信息最多。
日志文件記錄的主要服務(wù)與程序?yàn)閟yslogd，klogd，log。
syslogd的配置文件在/etc/syslog.conf中，內(nèi)容語(yǔ)法為：服務(wù).等級(jí)記載設(shè)備或文件。
syslogd本身提供日志文件服務(wù)器的功能，通過(guò)修改/etc/sysconfig/syslog內(nèi)容即可實(shí)現(xiàn)。
logrotate程序利用crontab來(lái)進(jìn)行日志文件的輪替功能。
logwatch為centos 5默認(rèn)提供的一個(gè)日志文件分析軟件。
日志文件的重要性主要體現(xiàn)在以下三方面：
解決系統(tǒng)方面的錯(cuò)誤
解決網(wǎng)絡(luò)服務(wù)的問(wèn)題
過(guò)往事件記錄
日志文件的權(quán)限通常是設(shè)置為root能夠讀取而已。由于日志文件可以記載系統(tǒng)很多的詳細(xì)信息，所以一個(gè)有經(jīng)驗(yàn)的主機(jī)管理員會(huì)隨時(shí)隨地查閱自己的日志文件，以掌握系統(tǒng)的最新動(dòng)態(tài)。
針對(duì)日志文件所需的功能，所需的服務(wù)與程序主要有：
syslogd：主要登錄系統(tǒng)與網(wǎng)絡(luò)等服務(wù)的信息
klogd：主要登錄內(nèi)核產(chǎn)生的各項(xiàng)信息
logrotate：主要進(jìn)行日志文件的輪替功能
日志文件中的每條信息的主要數(shù)據(jù)如下：
時(shí)間發(fā)生的日期與時(shí)間
發(fā)生此事件的主機(jī)名
啟動(dòng)此事件的服務(wù)名稱（如samba，xinetd等）或函數(shù)名稱（libpam）
該信息的實(shí)際數(shù)據(jù)內(nèi)容
syslog的配置文件是/etc/syslog.conf，此文件規(guī)定了什么服務(wù)的什么等級(jí)以及需要被記錄在哪里（設(shè)備或文件）這三個(gè)東西。
日志文件的安全性：為了誤刪除日志信息，可以通過(guò)設(shè)置一個(gè)隱藏的屬性來(lái)設(shè)置日志文件為只可以增加數(shù)據(jù)但不能被刪除的狀態(tài)。由于root可以在系統(tǒng)上面進(jìn)行任何事情，所以將root這個(gè)賬戶的密碼設(shè)置的安全一些。特別注意：當(dāng)不小心改動(dòng)過(guò)日志文件，如使用vi打開(kāi)它，修改后，離開(kāi)時(shí)執(zhí)行:wq參數(shù)，則該文件將來(lái)不會(huì)再繼續(xù)進(jìn)行日志操作?？梢酝ㄟ^(guò)執(zhí)行 chattr +a 日志文件目錄 來(lái)設(shè)置日志文件屬性，防止日志文件被修改或刪除。
日志文件的輪替（logrotate）：syslog利用的是daemon的方式來(lái)啟動(dòng)的，當(dāng)有需求的時(shí)候立刻就會(huì)被執(zhí)行，但是logrotate確實(shí)在規(guī)定的時(shí)間到了之后才進(jìn)行日志文件的輪替，故logrotate程序掛在cron下面進(jìn)行。在/etc/cron.daily/logrotate記錄每天要進(jìn)行的日志文件輪替行為。logrotate配置文件是/etc/logrotate.conf和/etc/logrotate.d，其中/etc/logrotate.conf為主要的參數(shù)文件，/etc/logrotate.d是一個(gè)目錄，該目錄中的所有文件都會(huì)被主動(dòng)讀入/etc/logrotate.conf當(dāng)中來(lái)進(jìn)行。
日志分析，可以使用logwatch軟件。
| 路徑 | 說(shuō)明 |
| /var/log/message | 包括整體系統(tǒng)信息，包括系統(tǒng)啟動(dòng)期間的日志。此外mail，cron，daemon，kern，auth等內(nèi)容也記錄在此日志中。 |
| /var/log/dmesg | 包含一些內(nèi)核緩沖信息，在系統(tǒng)啟動(dòng)時(shí)，會(huì)在屏幕上顯示許多與硬件相關(guān)的信息。 |
| /var/log/auth.log | 包含系統(tǒng)授權(quán)信息，如用戶登錄和使用的權(quán)限機(jī)制等 |
| /var/log/boot.log | 包含系統(tǒng)啟動(dòng)的日志 |
| /varlog/daemon.log | 包含各種系統(tǒng)后臺(tái)守護(hù)進(jìn)程的日志信息 |
| /var/log/dpkg.log | 包含安全或dpkg命令清除軟件包的日志 |
| /var/log/kern.log | 包含內(nèi)核產(chǎn)生的日志，有助于在定制內(nèi)核時(shí)解決問(wèn)題 |
| /var/log/lastlog | 記錄所有用戶最近信息，它不是一個(gè)ASCII文件，需要使用lastlog命令查看內(nèi)容 |
| /var/log/maillog /var/log/mail.log | 包含著系統(tǒng)運(yùn)行電子郵件服務(wù)器的日志信息 |
| /var/log/user.log | 記錄所有等級(jí)用戶信息的日志 |
| /var/log/Xorg.x.log | 記錄來(lái)自X的日志信息 |
| /var/log/alternatives.log | 更新替代信息都記錄在這個(gè)文件中 |
| /var/log/btmp | 記錄所有失敗登錄信息。使用last命令可以查看btmp文件 |
| /var/log/cups | 涉及所有打印信息日志 |
| /var/log/anaconda.log | 安裝Linux時(shí)，所有安全信息都存儲(chǔ)在這個(gè)文件中 |
| /var/log/cron | 每當(dāng)cron進(jìn)行開(kāi)始一個(gè)工作時(shí)，就會(huì)將現(xiàn)相關(guān)信息記錄在這個(gè)文件夾中 |
| /var/log/secure | 包含驗(yàn)證和授權(quán)方面的信息。sshd會(huì)將所有信息記錄在這里 |
| /var/log/wtmp /var/log/utmp | 包含登錄信息。wtmp可以找出誰(shuí)正在登錄進(jìn)入系統(tǒng)，誰(shuí)使用命令顯示這個(gè)文件或信息等 |
| /var/log/faillog | 包含用戶登錄失敗信息。注意，錯(cuò)誤登錄命令也會(huì)被記錄在此文件中 |
| /var/log/httpd /var/log/apache2 | 包含服務(wù)器access_log和error_log信息 |
| /var/log/lighttpd | 包含light https的access_log和error_log |
| /var/log/mail | 子目錄包含郵件服務(wù)器的額外日志 |
| /var/log/prelink | 包含.so文件被prelink修改的信息 |
| /var/log/audit | 包含被Linux audit daemon存儲(chǔ)的信息 |
| /var/log/samba | 包含samba存儲(chǔ)的信息 |
| /var/log/sa | 包含每日由sysstat軟件包收集的sar文件 |
| /var/log/sssd | 用戶守護(hù)進(jìn)程安全服務(wù) |
參看文獻(xiàn)：Linux鳥(niǎo)哥私房菜
聯(lián)系客服
