数码资讯
linux日志管理五阶详解
从ext ext2从ext2到ext3，甚至后来在ext4或之后，Linux系统一直被称为一个强大的、丰富的、完整的系统日志，通过日志管理，可以更清楚地了解系统的运行状况，也可以发现入侵并迅速防范各种入侵蜘蛛的痕迹。这篇文章是关于Linux系统的全方位管理第四部分，讲述Linux日志管理。前三部分是
选购提示
关注价格、性能、续航、售后和真实使用场景，理性比较后再下单。
从ext ext2从ext2到ext3，甚至后来在ext4或之后，Linux系统一直被称为一个强大的、丰富的、完整的系统日志，通过日志管理，可以更清楚地了解系统的运行状况，也可以发现入侵并迅速防范各种入侵蜘蛛的痕迹。这篇文章是关于Linux系统的全方位管理第四部分，讲述Linux日志管理。前三部分是文件系统管理，Linux的进程管理和用户管理。
日志的主要功能是：审计和监控，可以实时监控系统的状态，监视和跟踪入侵者等等，任何系统的成功管理的关键之一是要知道什么是系统发生的异常日志提供了在Linux和日志的细节是可配置的。Linux日志存储在明文的形式，让用户可以搜索和阅读他们没有特殊的工具，你也可以编写脚本来扫描这些日志和自动执行一些基于内容的功能。Linux日志存储在/ var /日志目录。有几个日志文件保存在系统中，但其他服务和程序也可能会把自己的日志，大多数日志可以重新仅通过根帐户进行广告，但修改文件的访问权限可以使其他人可读。在Linux系统中，有四种主要类型的日志：
连接时间日志由多个程序执行，写 / / / wtmp日志VaR和/ var /运行/ utmp和wtmp utmp文件更新，登录程序允许管理员跟踪谁对系统登录的时候。
统计的过程：一个系统内核实现的。当一个进程终止，记录写入过程统计文件（pacct或科目）每一个过程，过程统计的目的是为系统中的基本服务提供命令统计。
错误日志：（8）通过syslogd守护进程执行。各种系统守护进程、用户程序和内核报告值得注意的事件文件 /无功/日志通过syslogd /信息（3）的守护，也有许多UNIX程序创建日志服务器提供网络服务，如HTTP和FTP保持详细记录。
本日志：很多节目反映通过维护日志系统的安全状态。su命令允许用户获得一个用户的权限，所以它的安全性是非常重要的，它的文件是sulog。而同样是sudolog。此外，如Apache的HTTP服务器有两个日志：access_log（客户端访问日志）和error_log（服务错误日志），FTP服务的日志记录在xferlog文件和邮件传输服务日志（sendmail）是linux下一般储存在maillog文件。
utmp和wtmp日志文件是大多数的Linux日志子系统的关键，它保留了登录和注销用户的登录，当前登录用户的信息记录在文件utmp，登录和退出记录在wtmp文件，数据交换，关机和重启机器的信息也被记录下来在wtmp文件。所有记录包含一个时间戳，时间戳记录是非常重要的，因为很多攻击行为分析与时间有很大的关系。这些文件正在迅速增长，在一个系统中有大量的用户。例如，wtmp文件可以无限膨胀，除非是经常截获。许多系统配置在一天或一周循环wtmp。它通常是由一个脚本运行cron的改性。SE脚本重命名和回收wtmp文件。通常，wtmp命名wtmp。1在第一天结束的时候。wtmp后的第二天，。1是wtmp 2等。用户可以根据实际情况对这些文件进行命名和配置。
utmp文件的各种命令的文件，使用包括谁，W，用户，和手指。wtmp文件所使用的程序上和AC。
两wtmp和utmp文件是二进制文件，他们不能被剪切或由尾命令合并（使用cat命令）。用户需要使用谁，W，用户，去年，和交流使用的信息包含在这两个文件。
1.who命令
who命令查询utmp文件并报告每一个用户当前登录人。默认输出包括用户名、终端类型、登录日期，与远程主机，使用这个命令，系统管理员可以看到非法用户现有系统的审核和处理。例如，跑步的人命令显示如下：
#谁
根分 / 1 2010-02-22 13:02（：0）
根分 / 2 2010-02-22 15时57分（：0）
根分 / 3 2010-02-22 15时57分（：0）
如果指定了wtmp文件名，who命令查询以往的记录。命令谁/无功/日志/ wtmp将报告自从wtmp文件创建或删除所有日志。例如：运行此命令如下：
#谁/无功/日志/ wtmp
根：0 2010-01-24 21:47
根分 / 1 2010-01-24 21:47（：0）
根：0 2010-02-20 19:36
根分 / 1 2010-02-20 36（：0）
根：0 2010-02-21 15:21
根分 / 1 2010-02-21 15:56（：0）
根分 / 2 2010-02-21 16:03（：0）
根：0 2010-02-22 13:01
根分 / 1 2010-02-22 13:02（：0）
根分 / 2 2010-02-22 15时57分（：0）
根分 / 3 2010-02-22 15时57分（：0）
2.users命令
用户用一行打印当前登录用户，每个显示的用户名对应于登录会话。如果用户有多个登录会话，则用户的名称将显示相同的次数：
#用户
根的根
3.last命令
最后的命令去搜索wtmp显示谁已经登录以来的文件第一次创造用户。系统管理员可以定期审核和检查这些用户的登录情况，从而找出存在的问题，识别非法用户和处理它们。运行此命令，如下所示：
最后#
根分 / 3：0月2月22日15时57分仍然使用
根分 / 2：0月2月22日15时57分仍然使用
根分 / 1：0月2月22日13:02仍然使用
根：0 2月22日星期13:01仍然使用
重新启动系统的启动2.6.18-8.el5 2月22日星期12:56（03:02）
根分 / 2：0太阳2月21日16:03下来（02:37）
根分 / 1：0太阳2月21日15:56 -下（02:45）
根：0太阳2月21日15:21下来（03:20）
重新启动系统的启动2.6.18-8.el5太阳2月21日15:19（03:22）
根分 / 1：0坐下来（36 2月20日01:50）
根：0坐下来（01:51）2月20日19:36
重新启动系统的启动2.6.18-8.el5坐2月20日19:34（01:53）
根分 / 1：0太阳1月24日21:47下来（00:02）
根：0太阳1月24日21:47下来（00:02）
重新启动系统的启动2.6.18-8.el5太阳1月24日21:45（00:05）
重新启动系统的启动2.6.18-8.el5太阳1月24日21:41（00:02）
从1月24日2010 21:41:03 wtmp太阳
你可以看到，有太多的信息会显示上面的命令，和区别度很小。所以，你可以通过显示用户的登录信息。例如，使用上reoot显示启动历史登录信息如下：
#去年重新启动
重新启动系统的启动2.6.18-8.el5 2月22日星期12:56（3:7）
重新启动系统的启动2.6.18-8.el5太阳2月21日15:19（03:22）
重新启动系统的启动2.6.18-8.el5坐2月20日19:34（01:53）
重新启动系统的启动2.6.18-8.el5太阳1月24日21:45（00:05）
重新启动系统的启动2.6.18-8.el5太阳1月24日21:41（00:02）
从1月24日2010 21:41:03 wtmp太阳
4.ac命令
交流命令报告基于当前 / / / var日志wtmp文件的登录用户的连接时间，并报告总时间如果没有标志的使用。例如，AC（回车）显示总数的18.47，如下图所示：
#交流
总18.47
此外，一些参数可以被添加，例如，去年U 102将报告UID的102用户；最后T 7代表上周的报告。
5.lastlog命令
lastlog文件查询用户每次登录，您可以使用lastlog命令来查看上一次特定的用户登录和格式的最后一个日志日志 / / / lastlog.it VaR日志显示登录名的内容，端口号（TTY）和最后登录时间根据的UID排序。如果用户没有登录，lastlog显示**不要登录*。注意，你需要运行这个命令作为根。运行此命令如下：
# lastlog
用户名端口来自最终登陆时间。
根***从未登录到***
bin * ***从未登录到***
守护程序***从未登录到***
ADM从未登录过***
LP从未登录过***
同步***从未登录到***
关闭***从未登录到***
停止***从未登录到***
邮件***从未登录到***
新闻***从未登录过***
UUCP ***从未登录到***
运营商***从未登录过***
游戏***从未登录到***
地鼠***从未登录到***
FTP ***从未登录到***
没有人从来没有登录过***
RPM从未登录到***
dbus的*永远记录在* * * *
该服务可以***从未登录到***
mailnull ***从未登录到***
smmsp ***从未登录到***
中心***从未登录到***
VCSA ***从未登录到***
haldaemon ***从未登录到***
RPC ***从未登录到***
rpcuser ***从未登录到***
sshd ***从未登录到***
PCAP ***从未登录到***
NTP从未登录到***
GDM ***从未登录过***
Apache从未登录过***
distcache ***从未登录到***
Postgres的*永远记录在* * * *
MySQL从未登录到***
Dovecot * * * * *没有登录到***
Webalizer的*永远记录在* * * *
鱿鱼从未登录过***
命名***从未登录到***
XFS的*永远记录在* * * *
蛋黄***从未登录到***
后缀*永远记录在* * * *
阿曼达***从未登录过***
赛勒斯***从未登录过***
邮递员从未登录过***
radiusd ***从未登录到***
该***从未登录到***
privoxy ***从未登录到***
斑驴的*永远记录在* * * *
radvd ***从未登录到***
LDAP从未登录到***
Tomcat从未登录过***
天马从未登录过***
溧阳***从未登录过***
谷歌***从未登录过***
这里介绍了Linux系统全方位管理的四个方面。
日志的主要功能是：审计和监控，可以实时监控系统的状态，监视和跟踪入侵者等等，任何系统的成功管理的关键之一是要知道什么是系统发生的异常日志提供了在Linux和日志的细节是可配置的。Linux日志存储在明文的形式，让用户可以搜索和阅读他们没有特殊的工具，你也可以编写脚本来扫描这些日志和自动执行一些基于内容的功能。Linux日志存储在/ var /日志目录。有几个日志文件保存在系统中，但其他服务和程序也可能会把自己的日志，大多数日志可以重新仅通过根帐户进行广告，但修改文件的访问权限可以使其他人可读。在Linux系统中，有四种主要类型的日志：
连接时间日志由多个程序执行，写 / / / wtmp日志VaR和/ var /运行/ utmp和wtmp utmp文件更新，登录程序允许管理员跟踪谁对系统登录的时候。
统计的过程：一个系统内核实现的。当一个进程终止，记录写入过程统计文件（pacct或科目）每一个过程，过程统计的目的是为系统中的基本服务提供命令统计。
错误日志：（8）通过syslogd守护进程执行。各种系统守护进程、用户程序和内核报告值得注意的事件文件 /无功/日志通过syslogd /信息（3）的守护，也有许多UNIX程序创建日志服务器提供网络服务，如HTTP和FTP保持详细记录。
本日志：很多节目反映通过维护日志系统的安全状态。su命令允许用户获得一个用户的权限，所以它的安全性是非常重要的，它的文件是sulog。而同样是sudolog。此外，如Apache的HTTP服务器有两个日志：access_log（客户端访问日志）和error_log（服务错误日志），FTP服务的日志记录在xferlog文件和邮件传输服务日志（sendmail）是linux下一般储存在maillog文件。
utmp和wtmp日志文件是大多数的Linux日志子系统的关键，它保留了登录和注销用户的登录，当前登录用户的信息记录在文件utmp，登录和退出记录在wtmp文件，数据交换，关机和重启机器的信息也被记录下来在wtmp文件。所有记录包含一个时间戳，时间戳记录是非常重要的，因为很多攻击行为分析与时间有很大的关系。这些文件正在迅速增长，在一个系统中有大量的用户。例如，wtmp文件可以无限膨胀，除非是经常截获。许多系统配置在一天或一周循环wtmp。它通常是由一个脚本运行cron的改性。SE脚本重命名和回收wtmp文件。通常，wtmp命名wtmp。1在第一天结束的时候。wtmp后的第二天，。1是wtmp 2等。用户可以根据实际情况对这些文件进行命名和配置。
utmp文件的各种命令的文件，使用包括谁，W，用户，和手指。wtmp文件所使用的程序上和AC。
两wtmp和utmp文件是二进制文件，他们不能被剪切或由尾命令合并（使用cat命令）。用户需要使用谁，W，用户，去年，和交流使用的信息包含在这两个文件。
1.who命令
who命令查询utmp文件并报告每一个用户当前登录人。默认输出包括用户名、终端类型、登录日期，与远程主机，使用这个命令，系统管理员可以看到非法用户现有系统的审核和处理。例如，跑步的人命令显示如下：
#谁
根分 / 1 2010-02-22 13:02（：0）
根分 / 2 2010-02-22 15时57分（：0）
根分 / 3 2010-02-22 15时57分（：0）
如果指定了wtmp文件名，who命令查询以往的记录。命令谁/无功/日志/ wtmp将报告自从wtmp文件创建或删除所有日志。例如：运行此命令如下：
#谁/无功/日志/ wtmp
根：0 2010-01-24 21:47
根分 / 1 2010-01-24 21:47（：0）
根：0 2010-02-20 19:36
根分 / 1 2010-02-20 36（：0）
根：0 2010-02-21 15:21
根分 / 1 2010-02-21 15:56（：0）
根分 / 2 2010-02-21 16:03（：0）
根：0 2010-02-22 13:01
根分 / 1 2010-02-22 13:02（：0）
根分 / 2 2010-02-22 15时57分（：0）
根分 / 3 2010-02-22 15时57分（：0）
2.users命令
用户用一行打印当前登录用户，每个显示的用户名对应于登录会话。如果用户有多个登录会话，则用户的名称将显示相同的次数：
#用户
根的根
3.last命令
最后的命令去搜索wtmp显示谁已经登录以来的文件第一次创造用户。系统管理员可以定期审核和检查这些用户的登录情况，从而找出存在的问题，识别非法用户和处理它们。运行此命令，如下所示：
最后#
根分 / 3：0月2月22日15时57分仍然使用
根分 / 2：0月2月22日15时57分仍然使用
根分 / 1：0月2月22日13:02仍然使用
根：0 2月22日星期13:01仍然使用
重新启动系统的启动2.6.18-8.el5 2月22日星期12:56（03:02）
根分 / 2：0太阳2月21日16:03下来（02:37）
根分 / 1：0太阳2月21日15:56 -下（02:45）
根：0太阳2月21日15:21下来（03:20）
重新启动系统的启动2.6.18-8.el5太阳2月21日15:19（03:22）
根分 / 1：0坐下来（36 2月20日01:50）
根：0坐下来（01:51）2月20日19:36
重新启动系统的启动2.6.18-8.el5坐2月20日19:34（01:53）
根分 / 1：0太阳1月24日21:47下来（00:02）
根：0太阳1月24日21:47下来（00:02）
重新启动系统的启动2.6.18-8.el5太阳1月24日21:45（00:05）
重新启动系统的启动2.6.18-8.el5太阳1月24日21:41（00:02）
从1月24日2010 21:41:03 wtmp太阳
你可以看到，有太多的信息会显示上面的命令，和区别度很小。所以，你可以通过显示用户的登录信息。例如，使用上reoot显示启动历史登录信息如下：
#去年重新启动
重新启动系统的启动2.6.18-8.el5 2月22日星期12:56（3:7）
重新启动系统的启动2.6.18-8.el5太阳2月21日15:19（03:22）
重新启动系统的启动2.6.18-8.el5坐2月20日19:34（01:53）
重新启动系统的启动2.6.18-8.el5太阳1月24日21:45（00:05）
重新启动系统的启动2.6.18-8.el5太阳1月24日21:41（00:02）
从1月24日2010 21:41:03 wtmp太阳
4.ac命令
交流命令报告基于当前 / / / var日志wtmp文件的登录用户的连接时间，并报告总时间如果没有标志的使用。例如，AC（回车）显示总数的18.47，如下图所示：
#交流
总18.47
此外，一些参数可以被添加，例如，去年U 102将报告UID的102用户；最后T 7代表上周的报告。
5.lastlog命令
lastlog文件查询用户每次登录，您可以使用lastlog命令来查看上一次特定的用户登录和格式的最后一个日志日志 / / / lastlog.it VaR日志显示登录名的内容，端口号（TTY）和最后登录时间根据的UID排序。如果用户没有登录，lastlog显示**不要登录*。注意，你需要运行这个命令作为根。运行此命令如下：
# lastlog
用户名端口来自最终登陆时间。
根***从未登录到***
bin * ***从未登录到***
守护程序***从未登录到***
ADM从未登录过***
LP从未登录过***
同步***从未登录到***
关闭***从未登录到***
停止***从未登录到***
邮件***从未登录到***
新闻***从未登录过***
UUCP ***从未登录到***
运营商***从未登录过***
游戏***从未登录到***
地鼠***从未登录到***
FTP ***从未登录到***
没有人从来没有登录过***
RPM从未登录到***
dbus的*永远记录在* * * *
该服务可以***从未登录到***
mailnull ***从未登录到***
smmsp ***从未登录到***
中心***从未登录到***
VCSA ***从未登录到***
haldaemon ***从未登录到***
RPC ***从未登录到***
rpcuser ***从未登录到***
sshd ***从未登录到***
PCAP ***从未登录到***
NTP从未登录到***
GDM ***从未登录过***
Apache从未登录过***
distcache ***从未登录到***
Postgres的*永远记录在* * * *
MySQL从未登录到***
Dovecot * * * * *没有登录到***
Webalizer的*永远记录在* * * *
鱿鱼从未登录过***
命名***从未登录到***
XFS的*永远记录在* * * *
蛋黄***从未登录到***
后缀*永远记录在* * * *
阿曼达***从未登录过***
赛勒斯***从未登录过***
邮递员从未登录过***
radiusd ***从未登录到***
该***从未登录到***
privoxy ***从未登录到***
斑驴的*永远记录在* * * *
radvd ***从未登录到***
LDAP从未登录到***
Tomcat从未登录过***
天马从未登录过***
溧阳***从未登录过***
谷歌***从未登录过***
这里介绍了Linux系统全方位管理的四个方面。
声明：本文内容用于数码产品信息整理与选购参考，具体价格、库存、售后政策以官方渠道和电商页面实时信息为准。