连接时间的日志
连接时间日志一般由/var/log/wtmp和/var/run/utmp这两个文件记录,通过who查看
who /var/log/wtmp 【连接时间日志】 who /var/log/utmp 【连接时间日志】 ac -p //查看每个用户的连接时间 ac -a //查看所有用户的连接时间 ac -d //查看用户每天的连接时间
系统和服务日志
系统日志服务是由名为syslog的服务管理的,以下日志文件都由syslog日志服务驱动的: /var/log/lastlog :记录最后一次用户成功登陆的时间、登陆IP等信息 /var/log/messages :记录Linux操作系统常见的系统和服务错误信息 /var/log/secure :系统安全日志,记录用户和工作组变坏、用户登陆认证情况 /var/log/btmp【last】:记录Linux登陆失败的用户、时间以及远程IP地址 /var/log/cron :记录crond计划任务服务执行情况
进程监控日志
进程统计监控日志在监控用户的操作指令是非常有效的。当服务器最近发现经常无故关机或者无故被人删除文件等现象时,可以通过使用进程统计日志查看
[root@server ~]# accton /var/account/pacct //开启进程统计日志监控 [root@server ~]# lastcomm [root@server ~]# accton //关闭进程统计日志监控
RedHat6日志服务介绍
在Linux系统,大部分日志都是由syslog日志服务驱动和管理的,syslog服务由两个重要的配置文件控制管理,
CentOS 6及其以上: /etc/rsyslog.conf主配置文件
/etc/init.d/rsyslog是启动脚本
注意:CentOS 6之前版本是:/etc/syslog.conf. 和 /etc/sysconfig/syslog辅助
[root@server rsyslog.d]# grep -v '#' /etc/rsyslog.conf |grep -v '^$'
消息类型:auth,authpriv,security;cron,daemon,kern,lpr,mail, mark,news,syslog, user,uucp,local0~local7
错误级别:(8级)debug,info,notice,warning|warn;err|error;crit,alert,emerg|panic
动作域: file,user,console,@remote_ip
vim /etc/ rsyslog.conf文件
*.info;mail.none;authpriv.none;cron.none /var/log/messages 表示info级别的任何消息都发送到/var/log/messages日志文件,但邮件系统、验证系统 和计划任务的错误级别信息就除外,不发送(none表示禁止) cron.* /var/log/cron 表示所有级别的cron信息发到/var/log/cron文件 *.emerg * 表示emerg错误级别(危险)的所有消息发给所有用户