Linux日志分析

Posted 2021-06-11 还行少年

日志的功能

用于记录系统、程序运行中发生的各种事件
通过阅读日志，有助于诊断和解决系统故障

日志文件的分类

内核及系统日志
由系统服务rsyslog统一进行管理，日志格式基本相似

用户日志
记录系统用户登录及退出系统的相关信息

程序日志
由各种应用程序独立管理的日志文件，记录格式不统一

日志保存位置

默认位于：/var/log目录下

主要日志文件介绍

内核及公共信息日志	/var/log/messages
计划任务日志	/var/log/cron
系统引导日志	/var/log/dmesg
邮件系统日志	/var/log/mailog

日志消息的级别

级号	消息	级别	说明
0	EMERG	紧急	会导致主机系统不可用的情况
1	ALERT	警告	必须马上采取措施解决的问题
2	CRIT	严重	比较严重的错误
3	ERR	错误	运行出现错误
4	WARNING	提醒	可能会影响系统功能的事件
5	NOTICE	注意	不会影响系统但值得注意
6	INFO	信息	一般信息
7	DEBUG	调试	程序或系统调试信息等

[root@localhost ~]# grep -i "info" /var/log/messages  //过滤信息
May 18 17:06:01 localhost rsyslogd: [origin software="rsyslogd" swVersion="8.24.0-57.el7_9" x-pid="1187" x-info="http://www.rsyslog.com"] rsyslogd was HUPed
[root@localhost ~]# 

用户日志分析

保存了用户登录、退出等相关信息

/var/log/lastlog：最近的用户登录事件

/var/log/wtmp：用户登录、注销及系统开关机事件

/var/run/utmp：当前登录的每个用户的详细信息

/var/log/secure：与用户验证相关的安全性事件

分析工具

last

[root@localhost ~]# last  //记录所有用户最近正确登录信息
root     pts/1        192.168.177.1    Tue May 18 16:11   still logged in   
root     pts/0        192.168.177.1    Fri Apr 30 08:17 - 18:18 (18+10:01)  
reboot   system boot  3.10.0-1160.24.1 Fri Apr 30 08:13 - 19:16 (18+11:02)  
root     pts/0        192.168.177.1    Thu Apr 29 21:19 - crash  (10:53)    
reboot   system boot  3.10.0-1160.24.1 Thu Apr 29 21:19 - 19:16 (18+21:56)  
root     pts/2        :0               Thu Apr 29 16:51 - 20:04  (03:13)    

lastb

[root@localhost ~]# lastb  //记录所有用户最近错误登录信息
root     ssh:notty    192.168.177.1    Tue May 18 19:17 - 19:17  (00:00) 

lastlog

[root@localhost ~]# lastlog   //记录所有用户最近登录情况
用户名           端口     来自             最后登陆时间
root             pts/1    192.168.177.1    二 5月 18 16:11:04 +0800 2021
bin                                        **从未登录过**
daemon                                     **从未登录过**
adm                                        **从未登录过**
lp                                         **从未登录过**
sync                                       **从未登录过**

程序日志分析

由相应的应用程序独立进行管理

Web服务：/var/log/httpd
access_log、error_log
代理服务：/var/log/squid
access.log 、cache.log

分析工具

文本查看，grep过滤
awk、sed等文本过滤、格式化编辑工具
Webalizer、Awstats等专用日志分析工具