非常重要他记录了系统每天发生
各种各样事情你可以通过他来检查
发生原因或者受到攻击时攻击者留下痕迹
日志主要功能有:审计和监测他还可以实时监测系统状态监测和追踪侵入者等等
在Linux系统中有 3个主要日志子系统: 连接时间日志--由多个
执行把纪录写入到/var/log/wtmp和/var/run/utmplogin等更新wtmp和utmp文件使系统管理员能够跟踪谁在何时登录到系统 进程统计--由系统内核执行
当
个进程终止时为每个进程往进程统计文件(pacct或acct)中写个纪录进程统计目是为系统中基本服务提供命令使用统计 日志--由syslogd(8)执行各种系统守护进程、用户和内核通过syslog(3)向文件/var/log/messages报告值得注意事件另外有许多UNIX创建日志像HTTP和FTP这样提供网络服务服务器也保持详细日志 常用
日志文件如下: access-log 纪录HTTP/web
传输 acct/pacct 纪录用户命令
aculog 纪录MODEM
活动 btmp 纪录失败
纪录 lastlog 纪录最近几次成功登录
事件和最后次不成功登录 messages 从syslog中记录信息(有
链接到syslog文件) sudolog 纪录使用sudo发出
命令 sulog 纪录使用su命令
使用 syslog 从syslog中记录信息(通常链接到messages文件)
utmp 纪录当前登录
每个用户 wtmp
个用户每次登录进入和退出时间永久纪录 xferlog 纪录FTP会话
utmp、wtmp和lastlog日志文件是多数重用UNIX日志子系统
关键--保持用户登录进入和退出纪录有关当前登录用户信息记录在文件utmp中；登录进入和退出纪录在文件wtmp中；最后次登录文件可以用lastlog命令察看数据交换、关机和重起也记录在wtmp文件中所有纪录都包含时间戳这些文件(lastlog通常不大)在具有大量用户系统中增长十分迅速例如wtmp文件可以无限增长除非定期截取许多系统以天或者周为单位把wtmp配置成循环使用它通常由cron运行脚本来修改这些脚本重新命名并循环使用wtmp文件通常wtmp在第天结束后命名为wtmp.1；第 2天后wtmp.1变为wtmp.2等等直到wtmp.7 每次有
个用户登录时login在文件lastlog中察看用户UID如果找到了则把用户上次登录、退出时间和主机名写到标准输出中然后login在lastlog中纪录新登录时间在新lastlog纪录写入后utmp文件打开并插入用户utmp纪录该纪录直用到用户登录退出时删除utmp文件被各种命令文件使用包括who、w、users和finger 下
步login打开文件wtmp附加用户utmp纪录当用户登录退出时具有更新时间戳同utmp纪录附加到文件中wtmp文件被last和ac使用 具体命令
wtmp和utmp文件都是 2进制文件
他们不能被诸如tail命令剪贴或合并(使用cat命令)用户需要使用who、w、users、last和ac来使用这两个文件包含信息 who:who命令查询utmp文件并报告当前登录
每个用户Who缺省输出包括用户名、终端类型、登录日期及远程主机例如:who(回车)显示 chyang pts/0 Aug 18 15:06
ynguo pts/2 Aug 18 15:32
ynguo pts/3 Aug 18 13:55
lewis pts/4 Aug 18 13:35
ynguo pts/7 Aug 18 14:12
ylou pts/8 Aug 18 14:15
如果指明了wtmp文件名
则who命令查询所有以前纪录命令who /var/log/wtmp将报告自从wtmp文件创建或删改以来每次登录 w:w命令查询utmp文件并显示当前系统中每个用户和它所运行
进程信息例如:w(回车)显示:3:36pm up 1 day, 22:34, 6 users, load average: 0.23, 0.29, 0.27 USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
chyang pts/0 202.38.68.242 3:06pm 2:04 0.08s 0.04s -bash
ynguo pts/2 202.38.79.47 3:32pm 0.00s 0.14s 0.05 w
lewis pts/3 202.38.64.233 1:55pm 30:39 0.27s 0.22s -bash
lewis pts/4 202.38.64.233 1:35pm 6.00s 4.03s 0.01s sh /home/users/
ynguo pts/7 simba.nic.ustc.e 2:12pm 0.00s 0.47s 0.24s telnet mail
ylou pts/8 202.38.64.235 2:15pm 1:09m 0.10s 0.04s -bash
users:users用单独
行打印出当前登录用户每个显示用户名对应个登录会话如果个用户有不止个登录会话那他用户名将显示相同次数例如:users(回车)显示:chyang lewis lewis ylou ynguo ynguo last:last命令往回搜索wtmp来显示自从文件第
次创建以来登录过用户例如: chyang pts/9 202.38.68.242 Tue Aug 1 08:34 - 11:23 (02:49)
cfan pts/6 202.38.64.224 Tue Aug 1 08:33 - 08:48 (00:14)
chyang pts/4 202.38.68.242 Tue Aug 1 08:32 - 12:13 (03:40)
lewis pts/3 202.38.64.233 Tue Aug 1 08:06 - 11:09 (03:03)
lewis pts/2 202.38.64.233 Tue Aug 1 07:56 - 11:09 (03:12)
如果指明了用户
那么last只报告该用户近期活动例如:last ynguo(回车)显示: ynguo pts/4 simba.nic.ustc.e Fri Aug 4 16:50 - 08:20 (15:30)
ynguo pts/4 simba.nic.ustc.e Thu Aug 3 23:55 - 04:40 (04:44)
ynguo pts/11 simba.nic.ustc.e Thu Aug 3 20:45 - 22:02 (01:16)
ynguo pts/0 simba.nic.ustc.e Thu Aug 3 03:17 - 05:42 (02:25)
ynguo pts/0 simba.nic.ustc.e Wed Aug 2 01:04 - 03:16 1+02:12)
ynguo pts/0 simba.nic.ustc.e Wed Aug 2 00:43 - 00:54 (00:11)
ynguo pts/9 simba.nic.ustc.e Thu Aug 1 20:30 - 21:26 (00:55)
ac:ac命令根据当前
/var/log/wtmp文件中登录进入和退出来报告用户连结时间(小时)如果不使用标志则报告总时间例如:ac(回车)显示:total 5177.47 ac -d(回车)显示每天
总连结时间 Aug 12 total 261.87
Aug 13 total 351.39
Aug 14 total 396.09
Aug 15 total 462.63
Aug 16 total 270.45
Aug 17 total 104.29
Today total 179.02
ac -p (回车)显示每个用户
总连接时间 ynguo 193.23
yucao 3.35
rong 133.40
hdai 10.52
zjzhu 52.87
zqzhou 13.14
liangliu 24.34
total 5178.24
lastlog:lastlog文件在每次有用户登录时被查询
可以使用lastlog命令来检查某特定用户上次登录时间并格式化输出上次登录日志/var/log/lastlog内容它根据UID排序显示登录名、端口号(tty)和上次登录时间如果个用户从未登录过lastlog显示"**Never logged**注意需要以root运行该命令例如: rong 5 202.38.64.187 Fri Aug 18 15:57:01 +0800 2000
dbb **Never logged in**
xinchen **Never logged in**
pb9511 **Never logged in**
xchen 0 202.38.64.190 Sun Aug 13 10:01:22 +0800 2000
另外
可加些参数例如last -u 102将报告UID为102用户；last -t 7表示限制上周报告 进程统计
UNIX可以跟踪每个用户运行
每条命令如果想知道昨晚弄乱了哪些重要文件进程统计子系统可以告诉你它对还跟踪个侵入者有帮助和连接时间日志区别进程统计子系统缺省不激活它必须启动在Linux系统中启动进程统计使用accton命令必须用root身份来运行Accton命令形式accton filefile必须先存在先使用touch命令来创建pacct文件:touch /var/log/pacct然后运行accton: accton /var/log/pacct旦accton被激活就可以使用lastcomm命令监测系统中任何时候执行命令若要关闭统计可以使用不带任何参数accton命令 lastcomm命令报告以前执行
文件不带参数时lastcomm命令显示当前统计文件生命周期内纪录所有命令有关信息包括命令名、用户、tty、命令花费CPU时间和个时间戳如果系统有许多用户输入则可能很长下面例子: crond F root ?? 0.00 secs Sun Aug 20 00:16
promisc_check.s S root ?? 0.04 secs Sun Aug 20 00:16
promisc_check root ?? 0.01 secs Sun Aug 20 00:16
grep root ?? 0.02 secs Sun Aug 20 00:16
tail root ?? 0.01 secs Sun Aug 20 00:16
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.01 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.02 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.02 secs Sun Aug 20 00:15
sh root ?? 0.02 secs Sun Aug 20 00:15
ping S root ?? 0.00 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.02 secs Sun Aug 20 00:15
ping S root ?? 1.34 secs Sun Aug 20 00:15
locate root ttyp0 1.34 secs Sun Aug 20 00:15
accton S root ttyp0 0.00 secs Sun Aug 20 00:15
进程统计
个问题是pacct文件可能增长十分迅速这时需要交互式或经过cron机制运行sa命令来保持日志数据在系统控制内sa命令报告、清理并维护进程统计文件它能把/var/log/pacct中信息压缩到摘要文件/var/log/savacct和/var/log/usracct中这些摘要包含按命令名和用户名分类系统统计数据sa缺省情况下先读它们然后读pacct文件使报告能包含所有可用信息sa输出有下面些标记项: avio--每次执行
平均I/O操作次数 cp--用户和系统时间总和
以分钟计 cpu--和cp
样 k--内核使用
平均CPU时间以1k为单位 k*sec--CPU存储完整性
以1k-core秒 re--实时时间
以分钟计 s--系统时间
以分钟计 tio--I/O操作
总数 u--用户时间
以分钟计 例如:
842 173.26re 4.30cp 0avio 358k
2 10.98re 4.06cp 0avio 299k find
9 24.80re 0.05cp 0avio 291k ***other
105 30.44re 0.03cp 0avio 302k ping
104 30.55re 0.03cp 0avio 394k sh
162 0.11re 0.03cp 0avio 413k security.sh*
154 0.03re 0.02cp 0avio 273k ls
56 31.61re 0.02cp 0avio 823k ping6.pl*
2 3.23re 0.02cp 0avio 822k ping6.pl
35 0.02re 0.01cp 0avio 257k md5sum
97 0.02re 0.01cp 0avio 263k initlog
12 0.19re 0.01cp 0avio 399k promisc_check.s
15 0.09re 0.00cp 0avio 288k grep
11 0.08re 0.00cp 0avio 332k awk
用户还可以根据用户而不是命令来提供
个摘要报告例如sa -m显示如下: 885 173.28re 4.31cp 0avk
root 879 173.23re 4.31cp 0avk
alias 3 0.05re 0.00cp 0avk
qmailp 3 0.01re 0.00cp 0avk
Syslog设备
Syslog已被许多日志
采纳它用在许多保护措施中--任何都可以通过syslog 纪录事件Syslog可以纪录系统事件可以写到个文件或设备中或给用户发送个信息它能纪录本地事件或通过网络纪录另个主机上事件 Syslog设备依据两个重要
文件:/etc/syslogd(守护进程)和/etc/syslog.conf配置文件习惯上多数syslog信息被写到/var/adm或/var/log目录下信息文件中(messages.*)个典型syslog纪录包括生成名字和个文本信息它还包括个设备和个优先级范围(但不在日的中出现) 每个syslog消息被赋予下面
主要设备的: LOG_AUTH--认证系统:login、su、getty等
LOG_AUTHPRIV--同LOG_AUTH
但只登录到所选择单个用户可读文件中 LOG_CRON--cron守护进程
LOG_DAEMON--其他系统守护进程
如routed LOG_FTP--文件传输协议:ftpd、tftpd
LOG_KERN--内核产生
消息 LOG_LPR--系统打印机缓冲池:lpr、lpd
LOG_MAIL--电子邮件系统
LOG_NEWS--网络新闻系统
LOG_SYSLOG--由syslogd(8)产生
内部消息 LOG_USER--随机用户进程产生
消息 LOG_UUCP--UUCP子系统
LOG_LOCAL0~LOG_LOCAL7--为本地使用保留
Syslog为每个事件赋予几个区别
优先级: LOG_EMERG--紧急情况
LOG_ALERT--应该被立即改正
问题如系统数据库破坏 LOG_CRIT--重要情况
如硬盘 LOG_ERR--
LOG_WARNING--警告信息
LOG_NOTICE--不是
情况但是可能需要处理 LOG_INFO--情报信息
LOG_DEBUG--包含情报
信息通常旨在调试个时使用 syslog.conf文件指明syslogd
纪录日志行为该在启动时查询配置文件该文件由区别或消息分类单个条目组成每个占行对每类消息提供个选择域和个动作域这些域由tab隔开:选择域指明消息类型和优先级；动作域指明syslogd接收到个和选择标准相匹配消息时所执行动作每个选项是由设备和优先级组成当指明个优先级时syslogd将纪录个拥有相同或更高优先级消息所以如果指明"crit"那所有标为crit、alert和emerg消息将被纪录每行行动域指明当选择域选择了个给定消息后应该把他发送到哪儿例如如果想把所有邮件消息纪录到个文件中如下: #Log all the mail messages in one place
mail.* /var/log/maillog
其他设备也有自己
日志UUCP和
s设备能产生许多外部消息它把这些消息存到自己日志(/var/log/spooler)中并把级别限为"err"或更高例如: # Save mail and
s errors of level err and higher in aspecial file. uucp,
s.crit /var/log/spooler 当
个紧急消息到来时可能想让所有用户都得到也可能想让自己日志接收并保存 #Everybody gets emergency messages
plus log them on anther machine *.emerg *
*.emerg @linuxaid.com.cn
alert消息应该写到root和tiger
个人账号中: #Root and Tiger get alert and higher messages
*.alert root,tiger
有时syslogd将产生大量
消息例如内核("kern"设备)可能很冗长用户可能想把内核消息纪录到/dev/console中下面例子表明内核日志纪录被注释掉了: #Log all kernel messages to the console
#Logging much
clutters up the screen #kern.* /dev/console
用户可以在
行中指明所有设备下面例子把info或更高级别消息送到/var/log/messages除了mail以外级别"none"禁止个设备: #Log anything(except mail)of level info or higher
#Don't log private authentication messages!
*.info:mail.none;autHPriv.none /var/log/messages
在有些情况下
可以把日志送到打印机这样网络入侵者如何修改日志都没有用了通常要广泛纪录日志Syslog设备是个攻击者显著目标个为其他主机维护日志系统对于防范服务器攻击特别脆弱因此要特别注意 有个小命令logger为syslog(3)系统日志文件提供
个shell命令接口使用户能创建日志文件中条目使用方法:logger 例如:logger This is a test！ 它将产生
个如下syslog纪录:Aug 19 22:22:34 tiger: This is a test! 注意不要完全相信日志
攻击者很容易修改它 5.
日志 许多
通过维护日志来反映系统安全状态su命令允许用户获得另个用户权限所以它安全很重要它文件为sulog同样还有sudolog另外想Apache有两个日志:access_log和error_log 6. 其他日志工具
最新评论