日志文件是重要的系统信息文件,其中记录了许多重要的系统事件,包括用户的登录信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等。
日志对于安全来说也很重要,它记录了系统每天发生的各种事情,通过日志来检查错误发生的原因,或者受到攻击时攻击者留下的痕迹。

系统常用的日志

/var/log/ 目录就是系统日志文件的保存位置
image.png

日志服务管理 rsyslogd

  • 查询Linux中的rsyslogd服务是否启动

ps aux | grep “rsyslog” | grep -v “grep”

  • 查询rsyslogd服务的自启动状态

systemctl list-unit-files| grep rsyslog

配置文件: /etc/rsyslog.conf

编辑文件时的格式为: . 存放日志文件
其中第一个代表日志类型,第二个代表日志级别
1. 日志类型分为:

  • auth ##pam产生的日志
  • authpriv ##ssh、ftp等登录信息的验证信息
  • corn ##时间任务相关
  • kern ##内核
  • lpr ##打印
  • mail ##邮件
  • mark(syslog)-rsyslog ##服务内部的信息 ,时间标识
  • news ##新闻组
  • user ##用户程序产生的相关信息
  • uucp ##unix to nuix copy主机之间相关的通信
  • local1-7 ##自定义的日志设备

2.日志级别分为 :

  • debug ##有调试信息的，日志通信最多
  • info ##一般信息日志，最常用
  • notice ##最具有重要性的普通条件的信息
  • warning ##警告级别
  • err ##错误级别，阻止某个功能或者模块不能正常工作的信息
  • crit ##严重级别,阻止整个系统或者整个软件不能正常工作的信息
  • alert ##需要立刻修改的信息
  • emerg ##内核崩溃等重要信息
  • none ##什么都不记录

注意:从上到下,级别从低到高，记录信息越来越少

由日志服务rsyslogd记录的日志文件,日志文件的格式包含以下4列:

  1. 事件产生的时间
  2. 产生事件的服务器的主机名
  3. 产生事件的服务名或程序名
  4. 事件的具体信息

增加自定义日志文件

在rsyslog.conf增加自定义规则（日志类型和日志级别的组合）
image.png

日志轮替

日志轮替就是把旧的日志文件移动并改名,同时建立新的空日志文件，当旧日志文件超出保存的范围之后,就会进行删除

原理

日志轮替之所以可以在指定的时间备份日志,是依赖系统定时任务。在 /etc/cron.daily/ 目录,有logrotate文件(可执行) , logrotate通过这个文件依赖定时任务执行的。

日志轮替文件命名

  1. centos7使用logrotate进行日志轮替管理 ，要想改变日志轮替文件名字,通过 /etc/logrotate.conf 配置文件中”dateext” 参数:
  2. 如果配置文件中有 “dateext“ 参数,那么日志会用日期来作为日志文件的后缀,例如”secure-20201010”。这样日志文件名不会重叠，也就不需要日志文件的改名，只需要指定保存日志个数，删除多余的日志文件即可。
  3. 如果配置文件中没有”dateext”参数，日志文件就需要进行改名了。当第一次进行日志轮替时，当前的”secure日志会自动改名为 “secure.1” ,然后 新建“secure” 日志，用来保存 新的日志。 当第二次进行日志轮替时”secure.1”会自动改名为”secure.2” ,当前的”secure” 日志会自动改名为”secure.1” , 然后也会新建”secure”日志，用来保存新的日志,以此类推。

logrotate配置文件

/etc/logrotate.conf 为logrotate的全局配置文件

  • rotate log files weekly,每周对日志文件进行次轮替

    • weekly

  • keep 4 weeks worth of backlogs,共保存4份日志文件，当建立新的日志文件时，旧的将会被删除

    • rotate 4

  • create new (empty) log files after rotating old ones,创建新的空的日志文件，在日志轮替后

    • create

  • use date as a suffix of the rotated file,使用日期作为日志轮替文件的后缀

    • dateext

  • uncomment this if you want your log files compressed,日志文件是否压缩。如果取消注释，则日志会在转储的同时进行压缩

    • compress

  • RPM packages drop log rotation information into this directory

    • include /etc/logrotate.d

    • 包含/etc/logrotate.d/目录中所有的子配置文件。也就是说会把这个目录中所有子配置文件读取进来

  • #单独设置,优先级更高

/var/log/wtmp {
monthly #每月对日志文件进行一次轮替
create 0664 root utmp #建立的新日志文件，权限是0664，所有者是root， 所属组是utmp组
minsize 1M # 日志文件最小轮替大小是1MB.也就是日志一定要超过1MB才会轮替，否则就算时间达到一一个月，也不进行日志转储
rotate 1 #仅保留一个日志备份。也就是只有wtmp和wtmp.1日志保留而已
}

参数说明

  • daily 日志的轮替周期是每天
  • weekly 日志的轮替周期是每周
  • monthly 日志的轮替周期是每月
  • rotate 数字 保留的日志文件的个数。0指没有备份
  • compress 日志轮替时，旧的日志进行压缩
  • create mode owner group 建立新日志，同时指定新日志的权限与所有者和所属组。
  • mail address 当日志轮替时 ，输出内容通过邮件发送到指定的邮件地址。
  • missingok 如果日志不存在，则忽略该日志的警告信息
  • notifempty 如果日志为空文件,则不进行日志轮替
  • minsize 大小 日志轮替的最小值。也就是日志一定要达到这个最小值才 会轮替，否则就算时间达到也不轮替
  • size 大小 日志只有大于指定大小才进行日志轮替,而不是按照时间轮替
  • dateext 使用日期作为日志轮替文件的后缀。
  • sharedscripts 在此关键字之后的脚本只执行一次。
  • prerotate/endscript 在日志轮替之前执行脚本命令
  • postrotate/endscript 在日志轮替之后执行脚本命令

查看内存日志

journalctl 可以查看内存日志

  • journalctl ##查看全部
  • journalctl -n 3 ##查看最新3条
  • journalctl —since 19:00 —until 19:10:10 #查看起始时间到结束时间的日志可加日期
  • journalctl -p err ##报错日志
  • journalctl -0 verbose ##日志详细内容
  • journalctl_ PID=1245 COMM=sshd ##查看包含这些参数的日志 (在详细日志查看)
  • 或者journalctl | grep sshd

注: journalctl查看的是 内存日志，重启清空