Linux中的系统故障分析与排查

在有些情况下，可以设置syslog，使其在把日志信息记录到文件的同时将日志信息发送到打印机进行打印，这样无论网络入侵者怎么修改日志都不能清除入侵的痕迹。syslog日志服务是一个常会被攻击的显著目标，破坏了他将会使管理员难以发现入侵以及入侵的痕迹，因此要特别注意监控其守护进程以及配置文件。

2》用户日志、

在wtmp、utmp、lastlog等日志文件中，保存了系统用户登录，退出等相关事件的事件消息。但是这些文件都是二进制的数据文件，不能直接使用tail、less等文本查看工具进程浏览，需要使用who、w、users、last和ac等用户查询命令来获取日志信息。

这里就不再演示。

3、程序日志，在Linux系统中，还有相当一部分应用程序并没有使用syslog服务来管理日志。而是由程序自己维护日志记录。例如，httpd网站服务程序使用两个日志文件access_log和error_log，一般存放在"/var/log/httpd“目录中，分别记录客户访问事件，错误事件，而FTP服务程序可以将与文件上传，下载事件相关的消息记录在xferlog文件中。由于不同应用程序的日志记录格式差别较大，并没有严格使用统一的格式，这里不详解！

特例：服务器日志分布管理策略：

本栏目更多精彩内容：http://www.bianceng.cn/OS/Linux/

鉴于日志数据资料的重要性，对于系统运行过程中产生的各种日志文件，必须采用有针对性的管理策略，以确保日志数据的准确性、安全性和真实性。一般来说，可以从以下几个方面进行考虑。

>：日志备份和归档：日志文件也是重要的数据资料，同样需要进行备份和归档。

>：延长日志保存期限：在存储空间富裕的情况下，日志数据保留的时间应尽可能长。

>：控制日志访问权限：日志数据中可能会包含各类敏感信息，如：账号、口令等。所以需要严格控制其访问权限。

>：集中管理日志：使用集中的日志服务器管理各服务器发送的日志记录等。其好处在于方便对日志的收集、整理和分析，杜绝意外的丢失、恶意篡改或删除等。

eg：服务器A（IP地址为173.17.17.3/24），用于集中保存日志记录。

将客户机B（IP地址为173.17.17.11/24）中crond服务产生的日志记录，统一保存到服务器A中的“/var/log/cron”文件中。

1、设置日志服务器A

在日志服务器A中，需要编辑syslog日志服务的启动参数配置文件"/etc/sysconfig/syslog"，将SYSLOGD_OPTIONS变量的内容改为“-r -x -m 0”即可。其中"-r"选项表示允许接受其他主机发送过来的日志记录，"-x"选项表示不进程DNS域名解析，"-m"表示记录日志的时间标记间隔（设为0禁用该功能），这些信息可以通过查看syslogd程序的man手册页获得

*：修改日志服务器A的“/etc/sysconfig/syslog”文件，添加集中管理配置参数“-r”，并重启syslog服务。

vi /etc/sysconfig/syslog                   //修改SYSLOGD_OPTIONS行
SYSLOGD_OPTIONS="-r -x -m 0"
service syslog restart

2、设置客户机B

在客户机B中，需要修改"/etc/syslog.conf"配置文件，设置将cron计划任务的日志消息写入到服务器A的"/var/log/cron"文件中。指定写入日志的主机地址时，采用“@173.17.17.3”的格式即可。

*：修改客户机B的"/etc/syslog.conf"文件，找到cron日志的配置行，将日志发送位置改为“@173.17.17.3”，并重启syslog服务。

vi /etc/syslog.conf
cron.*                         @173.17.17.3
service syslog restart

3、验证日志集中管理功能

在客户机B中执行"crontab -e"命令，随便编写一条计划任务信息并保存退出，然后查看本机中的"/var/log/cron"日志文件，将发现没有任何新的记录。

（编辑：源码网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!