日志文件分析
日志文件用于记录linux系统运行中发生的各种类型的消息文件，包括 linux内核消息、用户登录消息、程序运行信息等。
-
linux系统中日志文件类型主要包括三种：
-
内核及系统日志 ：主要由 系统服务 rsyslog统一管理，根据服务的主配置文件 /etc/rsyslog.conf 中的设置决定 内核和系统程序消息记录的位置。
-
用户日志 ： 记录linux系统中用户的登录和退出等消息：如 用户名、登录的终端、登录时间、使用主机、执行的进程等。
-
程序日志：记录程序运行时发生的消息事件。
-
-
常见的日志文件及作用
-
/var/log/messages: 记录linux内核消息及各种应用程序的公共日志消息， 如 启动、lo错误、网络错误、程序故障灯。
-
/var/log/cron: 记录cron 计划任务产生的事件消息。
-
/var/log/dmesg:记录linux系统 在引导过程中的事件消息
-
/var/log/maillog:记录进入或发出系统的电子邮件活动
-
/var/log/lastlog:记录每个用户最近的登录事件
-
/var/log/rpmpkgs: 记录系统中安装的各种rpm包列表信息
-
/var/log/secure:记录用户认证相关的安全事件信息
-
/var/log/wtemp: 记录每个用户登录、注销及系统启动和停机事件
-
/var/log/btmp: 记录失败的、错误的登录尝试及验证事件
-
-
日志文件分析
-
日志文件分析可以帮助我们通过浏览日志查找关键信息， 如 对服务器的调试、判断故障等。
-
大多数日志文件可以使用 tail 、more、less、cat 等 文本处理工具查看日志内容； 对于 一些二进制的文件需要使用特定的程序进行查看。
-
linux 系统内核和系统日志文件一般由 rsyslog 软件包 提供，目录位置 ：/etc/rsyslog.conf
-
可以通过 命令 ： grep -v "^$" /etc/rsyslog.conf 了解到系统中关于日志文件的设置
-
-
linux 核心的syslog 将信息分为7个等级
7 debug 调试时产生的信息数据
6 info 基本信息说明
5 notice 是正常信息 ，但比info 还要被注意到的信息内容
4 warning 警示信息可能有问题 ，不影响系统运行
3 Error 一些重大的错误信息，如配置文件的某些设置值造成 该服 务无法启动的说明。
2 crit 比error 严重的错误信息，crit 是 临界点 critical的缩写
这个错误已经很严重了
1 alert 警告，已经很有问题的等级，比crit 还严重
0 emerg 指系统几乎要死机，通常只有硬件出问题，导致整个核心 无法顺利运行，才会出现这样的等级的信息。
-
rsyslog 管理的日志文件
没行都表示一条日志记录，每行都分为四段 分为：
-
时间标签：日志消息的发出的日期和时间
-
主机名：生成日志消息的主机名称
-
子系统名称：发出日志消息的应用程序名称
-
消息：日志消息中的具体的内容
-
-
用户日志：
- 在linux系统中，wtmp 、btmp、lastlog 等日志文件中，保存系统用户的登录，退出相关信息。都是二进制文件: 需要使用 who 、w、users 、last、lastb等用户查询命令 获取文件中的信息
-
程序日志
-
不由rsyslog服务管理的，一些程序日志文件将由程序自己管理。
-
如 ：http网站服务 由 access_log 和error_log 分别记录客户机的访问和 错误事件
-
不同的日志文件记录格式有所不同， 没有严格使用统一的格式
-
-
需要注意的一些不符合常规操作的记录
-
用户在非常规的时间登陆，或者用户登录系统的ip地址和以往不同
-
用户登录失败的日志记录，尤其是 一在连续尝试进入失败的日志记录
-
非法使用或不正当使用超级管理用户权限
-
无故 或者非法重新启动各项网络服务的记录
-
不正当的日志记录，日志残缺不全，或者是如：wtmp 这样的日志文件少了中间的记录文件。
-
-
注意
日志文件并不是完全可靠的，一些高明的黑客 在入侵操作系统后会清除痕迹。所以管理员需要合理运行上述提到的命令。
