日志管理
日志文件
日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括用户的登录信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等。日志对于安全来说也很重要，它记录了系统每天发生的各种事情，通过日志来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。
/var/log/ 是系统日志文件的保存位置，如图
系统中比较重日志文件如下
日志文件 说明 boot.log 系统启动日志 cron.log 与系统定时任务相关的定时任务 last.log 记录系统所有用户最后一次登录时间的日志，要用
lastlog
指令查看 mail.log 记录邮件信息的日志 message.log 记录系统重要信息，系统出现问题时应该首先查看这个日志文件 secure.log 记录验证和授权方面的信息，涉及账户和密码的程序都会记录在这个文件中 utmp.log 记录当前用户登录的信息，通过
w，who，users
查看
日志文件格式
以 /var/log/secure 为例
从左到右依次为
- 事件产生的时间
- 事件发生的主机名
- 产生事件的服务名或程序名
- 事件具体信息
日志管理服务
CentOS7.6的日志管理服务是 rsyslogd，日志管理服务的配置文件： /etc/rsyslog.conf
文件格式为：* . * 存放的日志文件
第一个 * 代表文件类型，第二个 * 代表日志基级别
日志类型
- auth pam 产生的日志
- authpriv ssh、 ftp 等登录信息的验证信息
- corn 时间任务相关
- kern 内核
- lpr 打印
- mail 邮件
- mark(syslog)-rsyslog 服务内部的信息，时间标识
- news 新闻组
- user 用户程序产生的相关信息
- uucp unix to nuix copy 主机之间相关的通信
- local 1-7 自定义的日志设备
日志级别
- debug 有调试信息的，日志通信最多
- info 一般信息日志，最常用
- notice 最具有重要性的普通条件的信息
- warning 警告级别
- err 错误级别，阻止某个功能或者模块不能正常工作的信息
- crit 严重级别，阻止整个系统或者整个软件不能正常工作的信息
- alert ##需要立刻修改的信息
- emerg ##内核崩溃等重要信息
- none ##什么都不记录
注意：从上到下，级别从低到高，记录信息越来越少
示例
我们新建一个日志，并将所有类型所有级别的日志（仅做试验使用）写入这个日志文件中。
首先使用使用vim打开日志管理服务的配置文件，并写入自己的配置信息。
然后在对应目录下创建日志文件，如果没有手动创建，系统会自动创建。重启后就可以看到日志文件被写入了登录的相关日志信息。
日志轮替
因为日志文件是不断在增加的，因此需要一个后台服务，能够把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围之后，就会进行删除，这就是日志轮替 logrotate。
日志轮替文件命名规则
- 日志轮替文件命名，由 /etc/logrotate.conf 配置文件中 dateext 参数决定
- 如果配置文件中有 dateext 参数，那么日志会用日期来作为日志文件的后缀，例如 “secure-20201010″。这样日志文件名不会重叠，也就不需要日志文件的改名， 只需要指定保存日志个数，删除多余的日志文件即可。
- 如果配置文件中没有 dateext 参数，日志文件就需要进行改名了。当第一次进行日志轮替时，当前的”secure”日志会自动改名为”secure.1″，然后新建”secure”日志， 用来保存新的日志，以此类推。
日志轮替配置文件
首先看一下文件配置参数：
- daily 日志的轮替周期是每天
- weekly 日志的轮替周期是每周
- monthly 日志的轮替周期是每月
- rotate 数字 保留的日志文件的个数。 0 指没有备份
- compress 日志轮替时，旧的日志进行压缩
- create mode owner group 建立新日志，同时指定新日志的权限与所有者和所属组。
- mail address 当日志轮替时，输出内容通过邮件发送到指定的邮件地址。
- missingok 如果日志不存在，则忽略该日志的警告信息
- notifempty 如果日志为空文件，则不进行日志轮替
- minsize 大小 日志轮替的最小值。也就是日志一定要达到这个最小值才会轮替，否则就算时间达到也不轮替
- size 大小 日志只有大于指定大小才进行日志轮替，而不是按照时间轮替。
- dateext 使用日期作为日志轮替文件的后缀。
- sharedscripts 在此关键字之后的脚本只执行一次。
- prerotate/endscript 在日志轮替之前执行脚本命令。
- postrotate/endscript 在日志轮替之后执行脚本命令。
具体的例子
/etc/logrotate.conf 为 logrotate 的全局配置文件
注意:其中的 inlcude /etc/logrotate.d，它的意思是会把这个目录中所有子配置文件读取进来，这个目录下存放的是每一个日志文件单独的日志轮替配置文件。
日志轮替机制原理
日志轮替之所以可以在指定的时间备份日志，是依赖系统定时任务。在 /etc/cron.daily/ 目录，就会发现这个目录中是有 logrotate 文件(可执行)， logrotate 通过这个文件依赖定时任务执行的，如图：
日志管理服务，日志轮替服务和定时任务调度之间的关系如下
查看内存日志
journalctl 可以查看内存日志,
常用指令：
journalctl ##查看全部
journalctl -n 3 ##查看最新 3 条
journalctl --since 19:00 --until 19: 10: 10 #查看起始时间到结束时间的日志可加日期
journalctl -p err ##报错日志
journalctl -o verbose ##日志详细内容
journalctl _PID=1245 _COMM=sshd ##查看包含这些参数的日志（在详细日志查看）
内存日志在关机后会被清空
学习总结来源于韩顺平老师一周学会Linux
Original: https://www.cnblogs.com/yjh1024/p/16530530.html
Author: Nights_Watch
Title: Linux日志管理
原创文章受到原创版权保护。转载请注明出处：https://www.johngo689.com/620772/
转载文章受原作者版权保护。转载请注明原作者出处！