熱點推薦:
您现在的位置: 電腦知識網 >> 編程 >> Oracle >> 正文

linux日志管理(一)

2013-11-13 15:44:28  來源: Oracle 

    日志簡介
  日志對於安全來說非常重要他記錄了系統每天發生的各種各樣的事情你可以通過他來檢查錯誤發生的原因或者受到攻擊時攻擊者留下的痕跡日志主要的功能有審計和監測他還可以實時的監測系統狀態監測和追蹤侵入者等等
  在Linux系統中有三個主要的日志子系統
  連接時間日志由多個程序執行把紀錄寫入到/var/log/wtmp和/var/run/utmplogin等程序更新wtmp和utmp文件使系統管理員能夠跟蹤誰在何時登錄到系統 進程統計由系統內核執行當一個進程終止時為每個進程往進程統計文件(pacct或acct)中寫一個紀錄進程統計的目的是為系統中的基本服務提供命令使用統計
  錯誤日志由syslogd()執行各種系統守護進程用戶程序和內核通過syslog()向文件/var/log/messages報告值得注意的事件另外有許多UNIX程序創建日志像HTTP和FTP這樣提供網絡服務的服務器也保持詳細的日志 常用的日志文件如下
   
  utmpwtmp和lastlog日志文件是多數重用UNIX日志子系統的關鍵保持用戶登錄進入和退出的紀錄有關當前登錄用戶的信息記錄在文件utmp中登錄進入和退出紀錄在文件wtmp中最後一次登錄文件可以用lastlog命令察看數據交換關機和重起也記錄在wtmp文件中所有的紀錄都包含時間戳這些文件(lastlog通常不大)在具有大量用戶的系統中增長十分迅速例如wtmp文件可以無限增長除非定期截取許多系統以一天或者一周為單位把wtmp配置成循環使用它通常由cron運行的腳本來修改這些腳本重新命名並循環使用wtmp文件通常wtmp在第一天結束後命名為wtmp第二天後wtmp變為wtmp等等直到wtmp
  每次有一個用戶登錄時login程序在文件lastlog中察看用戶的UID如果找到了則把用戶上次登錄退出時間和主機名寫到標准輸出中然後login程序在lastlog中紀錄新的登錄時間在新的lastlog紀錄寫入後utmp文件打開並插入用戶的utmp紀錄該紀錄一直用到用戶登錄退出時刪除utmp文件被各種命令文件使用包括whowusers和finger
  下一步login程序打開文件wtmp附加用戶的utmp紀錄當用戶登錄退出時具有更新時間戳的同一utmp紀錄附加到文件中wtmp文件被程序last和ac使用
   具體命令
  wtmp和utmp文件都是二進制文件他們不能被諸如tail命令剪貼或合並(使用cat命令)用戶需要使用whowuserslast和ac來使用這兩個文件包含的信息
  whowho命令查詢utmp文件並報告當前登錄的每個用戶Who的缺省輸出包括用戶名終端類型登錄日期及遠程主機例如who(回車)顯示
   
  如果指明了wtmp文件名則who命令查詢所有以前的紀錄命令who /var/log/wtmp將報告自從wtmp文件創建或刪改以來的每一次登錄
  ww命令查詢utmp文件並顯示當前系統中每個用戶和它所運行的進程信息例如w(回車)顯示:pm up day : users load average:
  
  usersusers用單獨的一行打印出當前登錄的用戶每個顯示的用戶名對應一個登錄會話如果一個用戶有不止一個登錄會話那他的用戶名將顯示相同的次數例如users(回車)顯示chyang lewis lewis ylou ynguo ynguo
  lastlast命令往回搜索wtmp來顯示自從文件第一次創建以來登錄過的用戶例如
  chyang pts/ Tue Aug : : (:)
  cfan pts/ Tue Aug : : (:)
  chyang pts/ Tue Aug : : (:)
  lewis pts/ Tue Aug : : (:)
  lewis pts/ Tue Aug : : (:)
  
  

From:http://tw.wingwit.com/Article/program/Oracle/201311/17227.html
    Copyright © 2005-2013 電腦知識網 Computer Knowledge   All rights reserved.