Linux /var/log下的各种日志文件详解

Myth丶恋晨 2023-10-06 22:04 14阅读 0赞

### 1、日志文件详情 ###

1)/var/log/secure：记录登录系统存取数据的文件;  
例如:pop3，ssh，telnet，ftp等都会记录在此.  
  
2)/ar/log/btmp：记录登录这的信息记录，被编码过，所以必须以last解析;  
例如:lastb | awk '\{ print $3\}' | sort | uniq -c | sort -nr | more  
  
3)/var/log/message:几乎所有的开机系统发生的错误都会在此记录;  
  
4)/var/log.boot.log：记录一些开机或者关机启动的一些服务显示的启动或者关闭的信息;  
  
5)/var/log/maillog：记录邮件的存取和往来;  
  
6)/var/log/cron：用来记录crontab这个服务的内容;  
  
7)/var/log/httpd，/var/log/mysqld.log等等文件，记录几个不同的网络服务的记录文件;  
  
8)/var/log/acpid , ACPI - Advanced Configuration and Power Interface，表示高级配置和电源管理接口。  
后面的 d 表示 deamon 。 acpid 也就是 the ACPI event daemon 。 也就是 acpi 的消息进程。用来控制、获取、管理 acpi 的状态的服务程序。  
  
9)/var/run/utmp 记录着现在登录的用户;  
10)/var/log/lastlog 记录每个用户最后的登录信息;  
11)/var/log/btmp 记录错误的登录尝试;  
12)/var/log/dmesg内核日志;  
13)/var/log/cpus CPU的处理信息；  
14)/var/log/syslog 事件记录监控程序日志；  
15)/var/log/auth.log 用户认证日志；  
16)/var/log/daemon.log 系统进程日志；  
17)/var/log/mail.err 邮件错误信息；

18)/var/log/mail.info 邮件信息；

19)/var/log/mail.warn 邮件警告信息；  
20)/var/log/daemon.log 系统监控程序产生的信息;  
21)/var/log/kern 内核产生的信息;  
22)/var/log/lpr 行打印机假脱机系统产生的信息;  
\-----------------------------------------------

### 2、配置文件位置 ###

**这些日志是通过 /etc/rsyslog.conf 配置文件生成（centos6前/etc/syslog.conf）**

打印/etc/rsyslog.conf配置文件如下：

#grep 去除注释行和空行，-v排除
    cat /etc/rsyslog.conf | grep -v ^# | grep -v ^$

部分结果如下：

*.info;mail.none;authpriv.none;cron.none                /var/log/messages
    authpriv.*                                              /var/log/secure
    mail.*                                                  -/var/log/maillog
    cron.*                                                  /var/log/cron
    *.emerg                                                 :omusrmsg:*
    uucp,news.crit                                          /var/log/spooler
    local7.*                                                /var/log/boot.log

### 3、**syslog配置** ###

**/var/log/syslog**

默认RedHat Linux不生成该日志文件，但可**以配置/etc/syslog.conf让系统生成该日志文件**。它和/etc/log/messages日志文件不一样，**它只记录警告信息**，经常是系统出问题的信息，因此更应该关注该文件。要让系统生成该日志文件，在/etc/syslog.conf文件中加上： **\*.warning /var/log/syslog**该日志文件能记录当用户登陆时login记录下的错误口令、Sendmail的问题、su命令执行失败等信息。[linux系统/var/log目录下的信息详解 - JavaShuo][linux_var_log_ - JavaShuo]

vi /etc/rsyslog.conf
    
    #在配置中加入
    *.warning	/var/log/syslog
    
    #重启syslog服务，使配置生效
    service rsyslog restart 或者 /bin/systemctl restart  rsyslog.service

当加入如下安全策略，**/var/log/syslog 就会记录**

vi /etc/pam.d/system-auth

#增加 认证失败策略
    auth required pam_tally2.so deny=6 onerr=fail no_magic_root unlock_time=120

参数：

auth 要求并验证密码
    required 必须success才能进行继续
    pam_tally2.so 身份验证模块
    deny=6 失败登录次数超过6次后拒绝访问
    onerr=fail 表示连续失败
    unlock_time=120 超出失败登录次数限制后，120秒后解锁
    no_magic_root 用户例外root用户不在限制范围

当配置如上策略后，用户登录时 就会在 /var/log/secure 和**/var/log/syslog 就会有如下记录**

Mar 21 15:28:05 oradb su: pam_tally2(su-l:auth): unknown option: no_magic_root
    Mar 21 15:28:24 oradb su: pam_tally2(su-l:auth): unknown option: no_magic_root
    Mar 21 15:28:30 oradb su: pam_tally2(su-l:auth): unknown option: no_magic_root
    Mar 21 15:28:35 oradb su: pam_tally2(su-l:setcred): unknown option: no_magic_root

转载：[Linux /var/log下的各种日志文件详解 - myworldworld - 博客园][Linux _var_log_ - myworldworld -]

[linux系统/var/log目录下的信息详解 - JavaShuo][linux_var_log_ - JavaShuo]

[linux_var_log_ - JavaShuo]: http://www.javashuo.com/article/p-ajmxaedz-k.html
[Linux _var_log_ - myworldworld -]: https://www.cnblogs.com/hello-/articles/10499742.html