這一章其實(shí)要怎麼寫(xiě)才會(huì )讓大家看的懂，其實(shí)我自己也不知道怎麼弄才會(huì )淺而易懂
所以囉..這一章的內容可能會(huì )有點(diǎn)凌亂，煩請同學(xué)見(jiàn)諒
(P.S.)1.先看猜題，有空再看教學(xué)部份2.內容上尚未完整，陸續補齊中....1.system log 的用途
系統紀錄檔主要用途當然是就是拿來(lái)了解
2. syslogd 的架構
設定檔:
/etc/syslog.conf
用來(lái)設定哪些服務(wù)該被紀錄預設的syslog.conf
# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.* /dev/console
# Log anything (except mail) of level info or higher.
# Don‘t log private authentication messages!
*.info;mail.none;news.none;authpriv.none;cron.none /var/log/messages
# The authpriv file has restricted access.
authpriv.* /var/log/secure
# Log all the mail messages in one place.
mail.* -/var/log/maillog
# Log cron stuff
cron.* /var/log/cron
# Everybody gets emergency messages
*.emerg *
# Save news errors of level crit and higher in a special file.
uucp,news.crit /var/log/spooler
# Save boot messages also to boot.log
#紀錄開(kāi)機時(shí)的相關(guān)紀錄
local7.* /var/log/boot.log
#
# INN
#
news.=crit /var/log/news/news.crit
news.=err /var/log/news/news.err
news.notice /var/log/news/news.notice
/etc/logrotate.conf
用來(lái)設定紀錄檔週期及保留設定以下圖的 mail.log 紀錄檔為例
預設會(huì )在 /var/log/ 中產(chǎn)生總數共五個(gè) mail.log 紀錄檔
如果第一個(gè)紀錄檔的紀錄時(shí)間為1月1號星期天開(kāi)始紀錄，則第一個(gè)紀錄檔為1月1號到1月7號
移動(dòng)的狀態(tài)如下:
注意:紀錄檔預設是星期六晚上23點(diǎn)59分59秒開(kāi)始置換移動(dòng)紀錄檔
3.system log 的用法
a.能利用 syslogd 產(chǎn)生的紀錄計有auth, authpriv：主要與認證有關(guān)的機制，例如 telnet, login, ssh 等需要認證的服務(wù)都是使用此一機制；
cron：就是例行性命令 cron/at 等產(chǎn)生訊息記錄的地方；
daemon：與各個(gè) daemon 有關(guān)的訊息；
kern：就是核心 (kernel) 產(chǎn)生訊息的地方；
lpr：亦即是列印相關(guān)的訊息??！
mail：只要與郵件收發(fā)有關(guān)的訊息紀錄都屬於這個(gè)；
news：與新聞群組伺服器有關(guān)的東西；
syslog：就是 syslogd 這支程式本身產(chǎn)生的資訊??！
user, uucp, local0 ~ local7：與 Unix like 機器本身有關(guān)的一些訊息。
*上述之外的系統服務(wù)基本上是不可以使用 syslogd 來(lái)紀錄4.分析log
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
可能考題：
PS:
1.請不要再太過(guò)自信，把本篇記好..考試時(shí)做不出來(lái)或忘記時(shí)立刻搜尋"關(guān)鍵字"??！
2.考題陸續補上，請常來(lái)看，恕不再提醒!!可能考題A：查看Log1.看mail log(郵件紀錄)
2.看系統紀錄
3.看最近登入的紀錄(全部)
4.看最近30筆登入的紀錄
可能考題B：解釋Log1.看mail log(郵件紀錄)
Dec 18 21:46:29 vh postfix/qmgr[3134]: DA050354162: from=<ilf@dukeglass.com>, size=3460, nrcpt=1 (queue active)
紀錄時(shí)間：12月18日 21點(diǎn)46分29秒
主機名稱(chēng)：Vh
服務(wù)名稱(chēng)：postfix
程序名稱(chēng)：qmgr
程序代碼：DA050354162
程序動(dòng)作：從ilf@dukeglass.com寄了一封信來(lái),信件大小為3.46K,回應訊號成功 (queue active)
Dec 18 21:46:29 vh postfix/local[26329]: DA050354162: to=<ihao@ihao.org>, orig_to=<ihao@ihao.org>, relay=local, delay=13, status=sent (delivered to file: /var/spool/virtual/ihao.org/ihao)
紀錄時(shí)間：12月18日 21點(diǎn)46分29秒
主機名稱(chēng)：Vh
服務(wù)名稱(chēng)：postfix
程序名稱(chēng)：local
程序代碼：DA050354162
程序動(dòng)作：信件傳送給ihao@ihao.org,經(jīng)由本地端傳送(local),延遲時(shí)間為13ms(從信件一到主機後開(kāi)始計算),狀態(tài):傳送病寫(xiě)入至/var/spool/virtual/ihao.org/ihao
Dec 18 21:46:29 vh postfix/qmgr[3134]: DA050354162: removed
紀錄時(shí)間：12月18日 21點(diǎn)46分29秒
主機名稱(chēng)：Vh
服務(wù)名稱(chēng)：postfix
程序名稱(chēng)：qmgr
程序代碼：DA050354162
程序動(dòng)作：將暫存的郵件搬移(移除)
1.看系統紀錄檔
Dec 19 17:05:41 Vh sshd(pam_unix)[626]: session opened for user root by root(uid=0)
紀錄時(shí)間：12月19日 17點(diǎn)05分41秒
主機名稱(chēng)：Vh
服務(wù)名稱(chēng)：sshd
使用模組：pam_unix
程序動(dòng)作：root成功登入主機
Dec 19 17:24:14 Vh sshd(pam_unix)[6687]: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=10.0.0.1 user=root
紀錄時(shí)間：12月19日 17點(diǎn)24分14秒
主機名稱(chēng)：Vh
服務(wù)名稱(chēng)：sshd
使用模組：pam_unix
程序動(dòng)作：認證失敗，企圖登入者為uid=0,eid=0,透過(guò)ssh連線(xiàn),從10.0.0.1,使用者名稱(chēng)為root
