提高系统安全性：理解和管理Linux日志文件

系统日志文件-概述

1. 日志文件的重要性

日志文件记录了系统在特定时间内的各种活动、操作和事件。这些文件帮助管理员通过日志内容来识别数据、排查系统故障、找到解决方案。通过查看日志文件，我们可以解决系统中的错误和服务问题，还可以将其用作日常操作的记录。

2. 常见的日志文件及其功能

文件路径	记录内容
/var/log/auth.log	记录认证和授权相关信息
/var/log/boot.log	记录系统启动过程中内核检测和启动硬件支持的详细信息
/var/log/kern.log	记录系统操作过程中产生的内核相关信息
/var/log/dmesg	记录系统启动过程中硬件设备和内核加载的详细过程
/var/log/messages	记录系统中的各种错误信息，包含除授权信息之外的所有日志数据
/var/log/Xorg	记录X Windows系统启动时产生的日志信息
/var/log/wtmp	记录所有用户登录和登出系统的相关信息

举例：

• 在CentOS系统中，可以使用cat命令查看日志文件内容。例如，查看系统启动日志：

  cat /var/log/boot.log

系统日志文件-服务概述

3. rsyslog

rsyslog是一个用于管理系统日志的程序，定义了日志格式和分类。例如，它规定了不同类别的日志内容保存到/var/log目录下的具体文件中。

4. rsyslog.service

这是管理和记录日志文件的服务，通过systemd进行控制。可以使用以下命令来启动、停止或重启rsyslog服务：

systemctl start rsyslog.service
systemctl stop rsyslog.service
systemctl restart rsyslog.service

5. rsyslog配置文件

rsyslog的配置文件包含了日志轮转、主配置和相关参数设定的详细信息。常见的配置文件如下：

配置文件路径	描述
/etc/logrotate.d/rsyslog	配置日志轮转的相关设置
/etc/rsyslog.conf	rsyslog的主要配置文件
/etc/sysconfig/rsyslog	rsyslogd服务的配置文件，定义了其工作参数

举例：

• 在CentOS中查看rsyslog的主配置文件：

  less /etc/rsyslog.conf

系统日志文件-服务配置文件

6. 查看/etc/rsyslog.conf

rsyslog的主配置文件是/etc/rsyslog.conf，用于管理系统的所有日志。以下是该文件的一部分内容：

*.info;mail.none;authpriv.none;cron.none       /var/log/messages
authpriv.*                                      /var/log/secure
mail.*                                          -/var/log/mail
cron.*                                          /var/log/cron
*.emerg                                         :omusrmsg:*

7. /etc/rsyslog.d/50-default.conf

50-default.conf文件定义了不同设备的信息存放在哪个日志文件中。例如：

*.info;mail.none;authpriv.none       /var/log/syslog

其中，*.info表示所有服务产生的高于info级别的日志将记录到/var/log/syslog文件中。

系统日志文件-rsyslog日志类别

8. rsyslog日志类型及描述

日志类型	描述
kern	记录内核产生的信息，主要包括内核检测和启动的相关内容
mail	记录与邮件相关的信息
daemon	记录系统服务产生的各种信息
auth	记录与认证和授权相关的活动，例如登录、SSH、sudo操作等
authpriv	记录用户的私密信息
lpr	记录与打印机相关的信息
cron	记录计划任务执行的信息
ftp	记录与FTP通讯协议相关的信息

举例：

• 在CentOS中查看邮件相关日志文件：

  tail -f /var/log/maillog

系统日志文件-日志信息等级

9. 日志信息的等级和描述

等级	关键词	描述
7	debug	记录调试信息，帮助排查错误
6	info	记录一般性的信息说明
5	notice	记录重要但不紧急的正常信息
4	warning	记录警告信息，表示可能存在问题但不影响服务运行
3	err	记录错误信息，表示严重问题但服务尚可运行
2	crit	记录更严重的错误信息，可能导致服务无法启动
1	alert	记录非常严重的问题，可能导致系统崩溃
0	emerg	记录系统崩溃或不可恢复的硬件问题，系统几乎无法运行

系统日志文件-rsyslog符号解释

10. rsyslog符号及其含义

符号	含义
.	表示记录比后面指定级别更严重的日志，例如mail.info
=	表示记录精确匹配后面指定级别的日志
!	表示除后面指定级别外，记录所有其他级别的日志
*	表示记录所有级别或所有服务的日志

举例：

• 将所有服务产生的高于notice级别的日志输出到/var/log/kylinlog：

  *.notice /var/log/kylinlog

本文由mdnice多平台发布