Linux 紀錄檔分析

2020-06-16 16:31:20

學會檢視紀錄檔檔案是一件很有意義的事，因為在Linux系統中執行的程式通常會把一些系統訊息和錯誤訊息寫入對應的紀錄檔中，若是一旦出現問題，我們就可以通過檢視紀錄檔來迅速定位，及時解決故障。

紀錄檔的三種型別#

核心及系統紀錄檔：

這種紀錄檔資料由系統服務rsyslog統一管理，根據其主組態檔/etc/rsyslog.conf中的設定決定將核心訊息及各種系統程式訊息記錄到什麼位置。系統中有相當一部分程式會把自己的紀錄檔檔案交由rsyslog管理，因而這些程式使用的紀錄檔記錄也具有相似的格式。

使用者紀錄檔：

這種紀錄檔資料用於記錄Linux作業系統使用者登入及退出系統的相關資訊，包括使用者名稱、登入的終端、登入時間、來源主機、正在使用的進程操作等。

程式紀錄檔：

有些應用程式會選擇由自己獨立管理一份紀錄檔檔案（而不是交給rsyslog服務管理），用於記錄本程式執行過程中的各種事件資訊。由於這些程式只負責管理自己的紀錄檔檔案，因此不同程式所使用的紀錄檔記錄格式可能會存在較大的差異。

常見的紀錄檔檔案#

路徑	說明
/var/log/messages	記錄 Linux 核心訊息及各種應用程式的公共紀錄檔資訊
/var/log/cron	記錄 crond 計劃任務產生的事件資訊
/var/log/dmesg	記錄 Linux 作業系統在引導過程中的各種事件資訊
/var/log/maillog	記錄進入或發出系統的電子郵件活動
/var/log/lastlog	記錄每個使用者最近的登入事件
/var/log/secure	記錄使用者認證相關的安全事件資訊
/var/log/wtmp	記錄每個使用者登入、登出及系統啟動和停機事件
/var/log/btmp	記錄失敗的、錯誤的登入嘗試及驗證事件

紀錄檔的優先順序別#

數位等級越小，優先順序越高，訊息越重要。

級別	英文單詞	中文釋義	說明
0	EMERG	緊急	會導致主機系統不可用的情況
1	ALERT	警告	必須馬上採取措施解決的問題
2	CRIT	嚴重	比較嚴重的情況
3	ERR	錯誤	執行出現錯誤
4	WARNING	提醒	可能影響系統功能，需要提醒使用者的重要事件
5	NOTICE	注意	不會影響正常功能，但是需要注意的事件
6	INFO	資訊	一般資訊
7	DEBUG	偵錯	程式或系統偵錯資訊等

使用者紀錄檔相關命令#

users#

users命令只是簡單地輸出當前登入的使用者名稱稱，每個顯示的使用者名稱對應一個登入對談。如果一個使用者有不止一個登入對談，那他的使用者名稱將顯示與其相同的次數。

[root@localhost ~]# users
root

who#

who命令用於報告當前登入到系統中的每個使用者的資訊。使用該命令，系統管理員可以檢視當前系統存在哪些不合法使用者，從而對其進行審計和處理。who的預設輸出包括使用者名稱、終端型別、登入日期及遠端主機。

[root@localhost ~]# who
root     pts/0        2019-09-06 23:56 (192.168.28.1)

w#

w命令用於顯示當前系統中的每個使用者及其所執行的進程資訊，比users、who命令的輸出內容要豐富一些。

 23:57:33 up 4 min,  1 user,  load average: 0.02, 0.18, 0.11
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
root     pts/0    192.168.28.1     23:56    5.00s  0.11s  0.02s w

last#

last命令用於查詢成功登入到系統的使用者記錄，最近的登入情況將顯示在最前面。通過last命令可以及時掌握Linux主機的登入情況，若發現未經授權的使用者登入過，則表示當前主機可能已被入侵。

[root@localhost ~]# last
root     pts/0        192.168.28.1     Fri Sep  6 23:56   still logged in
reboot   system boot  3.10.0-693.el7.x Fri Sep  6 23:52 - 23:58  (00:05)
ll       :0           :0               Wed Sep  4 14:09 - crash  (00:07)
reboot   system boot  3.10.0-693.el7.x Wed Sep  4 14:06 - 14:24  (00:18)

wtmp begins Wed Sep  4 14:06:18 2019

lastb#

lastb命令用於查詢登入失敗的使用者記錄，如登入的使用者名稱錯誤、密碼不正確等情況都將記錄在案。登入失敗的情況屬於安全事件，因為這表示可能有人在嘗試猜解你的密碼。

[root@localhost ~]# lastb
ll       ssh:notty    192.168.28.1     Sat Sep  7 00:01 - 00:01  (00:00)
ll       :0           :0               Fri Sep  6 23:59 - 23:59  (00:00)

btmp begins Fri Sep  6 23:59:42 2019