4-9 Linux 中的日志分析
作者&投稿：僪宋 （若有异议请与网页底部的电邮联系）
日志文件保存在 /var/log 和 /var/run 目录下。在 RedHat 7 中，系统日志消息由两个服务负责处理，它们是 systemd-journald 和 rsyslogd。
日志的保存时间系统默认是4周，可以通过 cat /etc/logrotate.conf 里面的一项参数查到。rotate 可以修改。
主要日志文件介绍：
/var/log/messages：系统日志，主要记录内核和公共消息。
/var/log/cron：计划执行任务日志。
/var/log/dmesg：系统引导日志。
/var/log/maillog：邮件日志。
/var/log/lastlog：用户登录日志。（用 lastlog 命令）
/var/log/boot.log：系统启动日志。
/var/log/secure：安全和身份验证日志 。
/var/log/wtmp：记录所有用户登录的详细信息。（用 last 命令）
/var/log/btmp：记录失败的登录记录（用 lastb 命令）
/var/run/utmp：用户登录、注销及系统开、关等事件。（用 w / who 命令）
（wtmp、btmp 和 utmp 是二进制文件，不能用cat、vi、tail、more这些命令打开查看）
1、/var/log/messages：系统日志，主要记录内核和公共消息。
1）、messages 信息项包括：事件发生的日期和时间、主机，终端名、进程 和 事件日志。
2）、红色下划线：systemctl restart sshd 重启 sshd 服务。
黄色下划线：tail /var/log/messages 查看 messages 日志。
蓝色方框：messages 日志已经可以查到重启 sshd 服务的记录。
绿色下划线：每个动作都记录得很清楚。暂停中（Stopping）、已暂停（Stopped）、启动中（Starting） 和 已启动（Started）
2、/var/log/cron：计划执行任务日志。
1）、cron 信息项包括：事件发生的日期和时间、主机，终端名、进程 和 事件日志。
2）、cron 保存的是计划任务的日志，我们也可以通过特定输出查看计划进程的一些规律。从中也可以梳理一下计划任务的概念。好像 run-parts(/etc/cron.hourly) 进程，基本都是从开机开始，整点 1 个小时就执行一次。一次由两个事件为一组，一条 starting 0anacron ，另一条 finished 0anacron。
输入 grep run-parts'('/etc/cron.hourly')' 的时候，（）括号需要用单引号引起来。
CROND进程，基本上也是从开机开始，整点 1 个小时就执行一次。
run-parts(/etc/cron.daily) 进程每天开机执行一次。一次由四个事件为一组，四个事件里面有两个事件是对应关系。starting man-db.cron 对应 finished man-db.cron，starting logrotate 对应 finished logrotate。
从 cron 日志知道系统的计划任务什么时候触发，执行了什么事件，产生了什么信息。
3、/var/log/dmesg：系统引导日志，显示硬件相关的信息。
head -20 dmesg | nl 列出开头 20 行信息。
4、/var/log/maillog：邮件日志。
红色下划线：tail maillog 查看 maillog 后 10 行信息。
黄色下划线：starting the Postfix mail system 启动 Postfix 邮件系统。daemon started 守护进程启动完成。
maillog 记录的信息都是和邮件有关。
5、/var/log/lastlog：记录所有用户登录最后一次登录本系统的时间信息。用 lastlog 读取信息。lastlog 的几列内容：Username（用户名）、Port（端口）、From（登录IP）、Latest（最后登录时间）。
系统用户是调用系统当中一些特殊服务的用户，不能登录系统（所以它们的登录状态都是显示“**Never logged in**”从来没有登录）。能够登录系统的只有 root 和 新建的普通用户。
6、/var/log/boot.log：系统启动日志。
head /var/log/boot.log 列出头 10 条系统启动的信息（内容较长，里面记录了多次启动的信息）。
通过 3 次的重启，查看 boot.log 大小。每重启一次文件的容量就会增大。也证明了每次启动都会往 boot.log 这个文件写信息。
7、/var/log/secure：安全和身份验证日志 。
tail secure 列出 secure 文件最后 10 行信息。通过 secure 的信息可以发现记录的是安全相关的信息，记录最多的是哪些用户登录服务器的相关日志。
黄色下划线：Failed password for root —— root 的密码错误。
红色下划线：Accepted password for root —— 密码正确，root 用户接受的密码。
绿色下划线：pam_unix(sshd:session): session opened for user root —— 为 root 用户建立会话。
8、/var/log/wtmp：记录所有用户登录的详细信息。一个二进制文件，不能用cat、vi、tail、more这些命令打开查看。用 last 命令查看。last 作用是显示近期用户或终端登录的情况（包括：登录、注销及系统的启动、停机的事件。因此随着系统正常运行时间的增加，该文件的大小也会越来越大，）
last -n 10 —— -n 跟一个数字，指定显示最近登录的数据。（或者 last -10 一样效果）
显示的内容有六列：
第一列：用户名。
第二列：终端位置。（pts/0 伪终端，SSH 或 telnet 等工具远程连接的用户，tty0 直接连接到计算机或本地连接的用户，后面的数字代表连接编号）。
第三列：登录 IP 或 内核。（如果是 0.0 或者 什么都没有，意味着用户通过本地终端连接，除了启动活动，内核版本会显示在状态中）。
第四列：开始时间。
第五列：结束时间。（still、login in 尚未推出，down 直到正常关机，crash 直到强制关机）。
第六列：持续时间。
9、/var/log/btmp：记录失败的登录记录，主要查看错误的登录信息。一个二进制文件，不能用cat、vi、tail、more这些命令打开查看。用 lastb 命令查看。
lastb -n 10 —— -n 跟一个数字，指定显示最近登录的数据。（或者 lastb -10 一样效果）
显示的内容有六列：
第一列：用户名。
第二列：终端位置。（连接失败：notty）。
第三列：登录 IP。
第四列：开始时间。
第五列：结束时间。
第六列：持续时间。
10、/var/run/utmp：用户登录、注销及系统开、关等事件。一个二进制文件，不能用cat、vi、tail、more这些命令打开查看。用 w / who 命令查看。
w 命令：查看登录者的信息及行为。
第一行：系统当前时间、系统没有中断持续性的运行时间、当前登录用户数、CPU在之前 1 分钟、5分钟、15分钟的平均负载。
USER： 登录用户名。
TTY：登录后系统分配的终端号。（tty：物理机本机终端、pts：远程终端）
FROM：远程主机名 IP。（tty 物理机本机不显示、pts 远程终端会显示 IP）
LOGIN@ ：登录时间。
IDLE：用户闲置时间 。这是个计时器，用户执行任何操作，计时器就会被重置。（这里显示的时间是距离上次命令操作后多久没有进行操作的闲置时间）
JCPU：执行命令进程所消耗的总时间。 终端连接的所有进程占用时间，包括当前正在运行作业占用的时间。
PCPU：当前进程所消耗 CPU 的时间。
WHAT：用户正在运行的进程 或 命令。（-bash 进程是终端进程）
who 命令：显示关于当前在本地系统上的所有用户信息。who 和 w 差不多，who 显示的内容更为简洁。who 命令显示以下内容：登录名、tty、登录日期 和 时间。如果用户是从远程终端登录的，那么该终端的 IP 也会显示出来。
11、whoami：显示自己的登录用户。
国习降脂： 现在有一些专门用于分析日志的工具,如Logcheck和Friends. Logcheck用来分析庞... 要检查的日志文件的设置: # Linux$LOGTAIL /var/log/syslog > $TMPDIR/check.$ ...
资源县19599398858： 如何查看linux系统下的各种日志文件 linux 系统日志的分析大全 - ？
国习降脂： 1. 一般两种类型日志: 永久日志rsyslog 临时日志system.journald2. 临时日志 查看 journalctl -f 参数可追踪实时日志3. 永久日志保存在/etc/log 目录下,通过修改 /etc/rsyslog.conf参数可定义不同日志的输出路径 配置路径格式: 设备名 . 优先级 ; ...
资源县19599398858： 如何分析Linux日志 - ？
国习降脂： Linux系统下Nginx 日志可以查看系统运行记录和出错说明,对Nginx 日志的分析可以了解系统运行的状态.那么Linux系统Nginx日志怎么分析呢? Nginx 日志相关配置有 2 个地方:access_log 和 log_format . 默认的格式: access_log /data/...
资源县19599398858： Linux操作系统日志的介绍有哪些呢? ？
国习降脂： 1. /var/log/lastlog : 记录每个使用者最近签入系统的时间, 因此当使用者签入时, ... 我们在登陆的时候不知道大家看到了不,LINUX会显示我们上一次登陆的时间 我们第...
资源县19599398858： 常用的linux日志分析工具具备什么功能 - ？
国习降脂： 30多台内就用命令 tail more grep awk 正则表达式,30+就要用日志服务器了 ELK之类的
资源县19599398858： 如何查看linux的系统log日志 - ？
国习降脂： 可以直接用Vim打开日志文件2113查看,系统日志文件一般是/var/log/secure、/var/log/messages、/var/log/lastlog等文件,不过日志文件数据很分散5261,一般都是编写一个shell脚本分析4102日志文件,并且加入任务计划每天自动分析,这样的1653shell脚本在一些论坛上可以下载的到的;或者是版用专门的日志文件分析工具软件,这样的软件是比权较多的,比如logwatch.
资源县19599398858： 怎么查看多台linux服务器的日志 - ？
国习降脂： 使用网上的一些工具来帮着进行日志分析,现在比较常用的是:analog. 然后通过同步把各个服务器上的日志都统一放到一个文件中,然后用analog每天分析一个就好了,很好用的
资源县19599398858： linux系统服务器宕机日志怎么看 - ？
国习降脂： 这往往是由于内核崩溃导致,但可能性多种多样. 首先查看系统日志,分析不出原因的话,请搜索“coredump” 或 “linux系统宕机”.
资源县19599398858： Linux 服务器日志统计有什么比较好的工具或开源软件 - ？
国习降脂： 初级: syslog基中管理 + 手工编写分析脚本 + CGI输出,适合简单分析,数据量不大的场景 进阶:LogStash,是一个应用程序日志、事件的传输、处理、管理和搜索的平台.你可以用它来统一对应用程序日志进行收集管理,提供 Web 接口用于查询和统计.个人用下来感觉它的全文检索功能最为强大,基本上你可以把它看成是splunk的开源解决方案 更灵活: Flume + Hadoop + Hive,这三个都是属于Apache基金会下的项目,Flume用与收集日志,Hadoop用于分析与存储,Hive用于存放处理后的数据.这个方案是最灵活也是最强大的,不过搭配起来需要花时间,UI要另外编写.
资源县19599398858： linux找出一个月以前的日志并统计数量 - ？
国习降脂： #!/bin/bash if [ ! $1 ]; then echo ＂Usage: $0 ＂ exit 1 fi if [ ! -f $1 ]; then echo ＂$1: no such file＂ exit 2 fi LOG=$1 > $LOG sleep 60 cp $LOG $LOG.1min grep -n ＂time out＂ $LOG.1min
