日志管理基础

rsyslog 日志管理

logrotate 日志轮转采集 -----> 分析一、处理日志的进程rsyslogd： 绝大部分日志记录，和系统操作有关，安全，认证 sshd,su，计划任务 at,cron...httpd/nginx/mysql: 可以以自己的方式记录日志[root@yangs ~]# ps aux |grep rsyslogdroot 717 0.0 0.0 219752 3880 ? Ssl 09:05 0:00 /usr/sbin/rsyslogd -n日志可以存放在本地日志可以存放在远程服务器二、常见的日志文件(系统、进程、应用程序)1.#tail /var/log/messages //系统主日志文件tail -20 /var/log/messages2.#tail -f /var/log/messages //动态查看日志文件的尾部3.# tailf /var/log/secure //认证、安全4.# tail /var/log/maillog //跟邮件 postfix 相关5.#tail /var/log/cron //crond、at 进程产生的日志6.#tail /var/log/dmesg //和系统启动相关7.#tail /var/log/audit/audit.log //系统审计日志8.#tail /var/log/yum.log //yum安装过的软件包9.#tail /var/log/mysqld.log //MySQL10.#tail /var/log/xferlog //和访问 FTP 服务器相关11.#w //当前登录的用户 /var/log/wtmp12.#last //最近登录的用户 /var/log/btmp13.#lastlog //所有用户的登录情况 /var/log/lastlog

案例 1: 统计登录失败 top 5

[root@aliyun ~]# grep 'Fail' /var/log/secure |awk '{print $11}' |sort |uniq -c|sort -k1 -n -r |head -57 172.16.130.146 172.16.130.705 172.16.130.563 172.16.130.802 172.16.130.76案例 2: 统计登录成功[root@aliyun ~]# grep 'Accepted' /var/log/secure |awk '{print $(NF-3)}' |sort |uniq -c4 111.201.131.2151 116.243.0.2131 123.120.14.323 123.120.38.2332 221.222.199.1751 221.222.202.102案例 3: 查看网卡是否已被驱动[root@yang ~]# grep -i eth /var/log/dmesg[ 0.809104] r8169 Gigabit Ethernet driver 2.3LK-NAPI loaded[ 0.814193] r8169 0000:02:00.0 eth0: RTL8168g/8111g at 0xffffc9000183e000, 40:8d:5c:9b:3c:17, XID 0c000800IRQ 25[ 0.814195] r8169 0000:02:00.0 eth0: jumbo features [frames: 9200 bytes, tx checksumming: ko]