Linux 基础教程--系统监视与系统日志.ppt

日志系统和系统日志 * * 系统日志简介 日志的用途 系统审计、监测追踪和分析统计。 日志的功能 用于记录系统、程序运行中发生的各种事件 通过阅读日志，有助于诊断和解决系统故障 帮助系统管理员寻找攻击者留下的痕迹 日志的分类 文件日志：将日志记录到文件中 数据库日志：将日志记录关系数据库中 管道日志：将日志通过管道传递给应用程序处理 * * 日志系统简介 日志系统 负责系统日志和内核消息捕捉的日志记录系统 日志系统的主要功能 分类存放日志、方便日志管理 可将日志消息记录到远程主机 日志系统的常用软件 syslog（ / ）【默认安装】 syslog-ng（/network-security/syslog-ng） rsyslog（/） * * RHEL/CentOS 5中的syslog 软件包名： sysklogd 服务类型：独立运行的守护进程 启动脚本： /etc/init.d/syslog 守护进程： /sbin/klogd：只处理内核消息 /sbin/syslogd：处理其他系统消息 配置文件 /etc/syslog.conf：syslog的主配置文件，规定了系统中需要监视的事件和相应的日志的保存位置。 /etc/sysconfig/syslog：配置守护进程的运行参数 * * 配置文件/etc/syslog.conf 格式 以 # 开始的行为注释 详情 man 5 syslog.conf 每一行的格式为 facility.priority action 设备.级别 动作 facility和priority的详细定义 man 3 syslog * * RHEL/CentOS的默认配置 # egrep -v ^#|^$ /etc/syslog.conf *.info;mail.none;authpriv.none;cron.none /var/log/messages authpriv.* /var/log/secure mail.* -/var/log/maillog cron.* /var/log/cron *.emerg * uucp,news.crit /var/log/spooler local7.* /var/log/boot.log * * facility.priority语法 可以在同一行中设置多个“设备.级别”组合，每组之间用分号隔开 可以同时指定多个设备或级别，用逗号间隔 可以使用通配符“*”表示所有的设备或级别 级别（priority）的指定 直接指定：记录比指定级别高的所有级别的消息 使用=前缀：只记录指定级别的日志消息 使用!前缀：不记录比指定级别高的所有级别的消息 使用!=前缀：不记录指定级别的日志消息 none：用于禁止任何日志消息 * * facility.priority语法举例 mail.=info kern.* ;kern.!err mail.*;mail.!=info mail,news.=info *.=crit;kern.none *.=info;mail,news.none * * 目标动作（ action ） 常规文件 将日志记录于文件：以“/”开始的全路径文件名 [-]/path/filename 文件名之前的减号（-）表示对文件的写入同时不立即同步到磁盘，这样可以加快日志写入速度 终端设备 将日志发送到终端：/dev/console，/dev/ttyX 命名管道 将日志通过管道传送给其他应用程序处理 | program * * 目标动作（ action ）续 远程主机 @hostname 将信息发送到可解析的远程主机hostname或IP 该主机必须正在运行syslogd，并可以识别syslog的配置文件 syslog 使用 udp:514 端口传送日志信息 用户列表 User1,User2,…Usern 发送信息到指定的登录用户，*表示所有用户 * * action语法举例 ker