日誌的三種類型#

核心及系統日誌：

這種日誌資料由系統服務rsyslog統一管理，根據其主配置檔案/etc/rsyslog.conf中的設定決定將核心訊息及各種系統程式訊息記錄到什麼位置。系統中有相當一部分程式會把自己的日誌檔案交由rsyslog管理，因而這些程式使用的日誌記錄也具有相似的格式。

使用者日誌：

這種日誌資料用於記錄Linux作業系統使用者登入及退出系統的相關資訊，包括使用者名稱、登入的終端、登入時間、來源主機、正在使用的程序操作等。

程式日誌：

有些應用程式會選擇由自己獨立管理一份日誌檔案（而不是交給rsyslog服務管理），用於記錄本程式執行過程中的各種事件資訊。由於這些程式只負責管理自己的日誌檔案，因此不同程式所使用的日誌記錄格式可能會存在較大的差異。

常見的日誌檔案#

路徑說明/var/log/messages記錄 Linux 核心訊息及各種應用程式的公共日誌資訊/var/log/cron記錄 crond 計劃任務產生的事件資訊/var/log/dmesg記錄 Linux 作業系統在引導過程中的各種事件資訊/var/log/maillog記錄進入或發出系統的電子郵件活動/var/log/lastlog記錄每個使用者最近的登入事件/var/log/secure記錄使用者認證相關的安全事件資訊/var/log/wtmp記錄每個使用者登入、登出及系統啟動和停機事件/var/log/btmp記錄失敗的、錯誤的登入嘗試及驗證事件

日誌的優先級別#

數字等級越小，優先順序越高，訊息越重要。

級別英文單詞中文釋義說明0EMERG緊急會導致主機系統不可用的情況1ALERT警告必須馬上採取措施解決的問題2CRIT嚴重比較嚴重的情況3ERR錯誤執行出現錯誤4WARNING提醒可能影響系統功能，需要提醒使用者的重要事件5NOTICE注意不會影響正常功能，但是需要注意的事件6INFO資訊一般資訊7DEBUG除錯程式或系統除錯資訊等

使用者日誌相關命令#

users#

users命令只是簡單地輸出當前登入的使用者名稱稱，每個顯示的使用者名稱對應一個登入會話。如果一個使用者有不止一個登入會話，那他的使用者名稱將顯示與其相同的次數。

[root@localhost ~]# usersroot

who#

who命令用於報告當前登入到系統中的每個使用者的資訊。使用該命令，系統管理員可以檢視當前系統存在哪些不合法使用者，從而對其進行審計和處理。who的預設輸出包括使用者名稱、終端型別、登入日期及遠端主機。

[root@localhost ~]# whoroot pts/0 2019-09-06 23:56 (192.168.28.1)

w#

w命令用於顯示當前系統中的每個使用者及其所執行的程序資訊，比users、who命令的輸出內容要豐富一些。

 23:57:33 up 4 min, 1 user, load average: 0.02, 0.18, 0.11USER TTY FROM LOGIN@ IDLE JCPU PCPU WHATroot pts/0 192.168.28.1 23:56 5.00s 0.11s 0.02s w

last#

last命令用於查詢成功登入到系統的使用者記錄，最近的登入情況將顯示在最前面。通過last命令可以及時掌握Linux主機的登入情況，若發現未經授權的使用者登入過，則表示當前主機可能已被入侵。

[root@localhost ~]# lastroot pts/0 192.168.28.1 Fri Sep 6 23:56 still logged inreboot system boot 3.10.0-693.el7.x Fri Sep 6 23:52 - 23:58 (00:05)ll :0 :0 Wed Sep 4 14:09 - crash (00:07)reboot system boot 3.10.0-693.el7.x Wed Sep 4 14:06 - 14:24 (00:18)wtmp begins Wed Sep 4 14:06:18 2019

lastb#

lastb命令用於查詢登入失敗的使用者記錄，如登入的使用者名稱錯誤、密碼不正確等情況都將記錄在案。登入失敗的情況屬於安全事件，因為這表示可能有人在嘗試猜解你的密碼。

[root@localhost ~]# lastbll ssh:notty 192.168.28.1 Sat Sep 7 00:01 - 00:01 (00:00)ll :0 :0 Fri Sep 6 23:59 - 23:59 (00:00)btmp begins Fri Sep 6 23:59:42 2019