簡單介紹Linux系統日誌的使用

經過長時間學習，Linux系統正式版已經發行，下面就這就來講術Linux系統日誌。Linux發行版Fedora Core Linux，而Red Hat公司原來Red Hat Linux的Team Dev也將繼續參與這一發行版本的開發工作。Red Hat公司把Fedora Project看作一個新技術的開發園地，鼓勵有興趣的自由軟體開發人員參與此項項目的開發，希望這一發行版本真正成為以自由軟體開發為模式的作業系統。

在Linux系統日誌中，有三類主要的日誌子系統:
◆連線時間日誌: 由多個程式執行，把記錄寫入到/var/log/wtmp和/var/run/utmp，login等程式會更新wtmp和utmp檔案，使系統管理員能夠跟蹤誰在何時登入到系統。
◆進程統計: 由系統核心執行，當一個進程終止時，為每個進程往進程統計檔案pacct或acct）中寫一個記錄。進程統計的目的是為系統中的基本服務提供命令使用統計。
◆錯誤記錄檔: 由syslogd8）精靈執行，各種系統守護進程、使用者程式和核心通過syslogd3）精靈向檔案/var/log/messages報告值得注意的事件。另外有許多Unix程式建立日誌。像HTTP和FTP這樣提供網路服務的伺服器也保持詳細的Linux系統日誌。

Linux系統日誌的使用 基本日誌命令的使用

utmp、wtmp記錄檔是多數Linux系統日誌子系統的關鍵，它儲存了使用者登入進入和退出的記錄。有關當前登入使用者的資訊記錄在檔案utmp中; 登入進入和退出記錄在檔案wtmp中; 資料交換、關機以及重啟的機器資訊也都記錄在wtmp檔案中。所有的記錄都包含時間戳記。時間戳記對於Linux系統日誌來說非常重要，因為很多攻擊行為分析都是與時間有極大關係的。這些檔案在具有大量使用者的系統中增長十分迅速。例如wtmp檔案可以無限增長，除非定期截取。許多系統以一天或者一周為單位把wtmp配置成迴圈使用。它通常由cron啟動並執行指令碼來修改，這些指令碼重新命名並迴圈使用wtmp檔案。utmp檔案被各種命令檔案使用，包括who、w、users和finger。而wtmp檔案被程式last和ac使用。 但它們都是二進位檔案，不能被諸如tail命令剪貼或合并使用cat命令）。使用者需要使用who、w、users、last和ac來使用這兩個檔案包含的資訊。具體用法如下:
who命令: who命令查詢utmp檔案並報告當前登入的每個使用者。Who的預設輸出包括使用者名稱、終端類型、登入日期及遠程主機。使用該命令，系統管理員可以查看當前系統存在哪些不法使用者，從而對其進行審計和處理。例如: 運行who命令顯示如下:
[root@working]# who
root pts/0 May 9 21:11 (10.0.2.128)
root pts/1 May 9 21:16 (10.0.2.129)
lhwen pts/7 May 9 22:03 (10.0.2.27)
如果指明了wtmp檔案名稱，則who命令查詢所有以前的記錄。例如命令who /var/log/wtmp將報告自從wtmp檔案建立或刪改以來的每一次登入。
Linux系統日誌使用注意事項

系統管理人員應該提高警惕，隨時注意各種可疑狀況，並且按時和隨機地檢查各種Linux系統記錄檔，包括一般資訊日誌、網路連接日誌、檔案傳輸Linux系統日誌以及使用者登入日誌等。在檢查這些日誌時，要注意是否有不合常理的時間記載。例如:
◆使用者在非常規的時間登入;
◆不正常的日誌記錄，比如日誌的殘缺不全或者是諸如wtmp這樣的記錄檔無故地缺少了中間的記錄檔案;
◆使用者登入系統的IP地址和以往的不一樣;
◆使用者登入失敗的日誌記錄，尤其是那些一再連續嘗試進入失敗的日誌記錄;
◆非法使用或不正當使用超級使用者權限su的指令;
◆無故或者非法重新啟動各項網路服務的記錄。

另外, 尤其提醒管理員注意的是: Linux系統日誌並不是完全可靠的。高明的駭客在入侵系統後，經常會打掃現場。所以需要綜合運用以上的系統命令，全面、綜合地進行審查和檢測，切忌斷章取義，否則很難發現入侵或者做出錯誤的判斷。
users命令: users用單獨的一行列印出當前登入的使用者，每個顯示的使用者名稱對應一個登入工作階段。如果一個使用者有不止一個登入工作階段，那他的使用者名稱將顯示相同的次數。運行該命令將如下所示:
[root@working]# users
root root //只登入了一個Root許可權的使用者
last命令: last命令往回搜尋wtmp來顯示自從檔案第一次建立以來登入過的使用者。系統管理員可以周期性地對這些使用者的登入情況進行審計和考核，從而發現其中存在的問題，確定不法使用者，並進行處理。運行該命令，如下所示:
[root@working]# last
devin pts/1 10.0.2.221 Mon Jul 21 15:08-down (8+17:46)
devin pts/1 10.0.2.221 Mon Jul 21 14:42 - 14:53 (00:11)
changyi pts/2 10.0.2.141 Mon Jul 21 14:12 - 14:12 (00:00)
devin pts/1 10.0.2.221 Mon Jul 21 12:51 - 14:40 (01:49)
reboot system boot 2.4.18 Fri Jul 18 15:42 (11+17:13)
reboot system boot 2.4.18 Fri Jul 18 15:34 (00:04)
reboot system boot 2.4.18 Fri Jul 18 15:02 (00:36)

讀者可以看到，使用上述命令顯示的資訊太多，區分度很小。所以，可以通過指明使用者來顯示其登入資訊即可。例如: 使用last devin來顯示devin的曆史登入資訊，則如下所示:
[root@working]# last devin
devin pts/1 10.0.2.221 Mon Jul 21 15:08 - down (8+17:46)
devin pts/1 10.0.2.221 Mon Jul 21 14:42 - 14:53 (00:11)
ac命令:ac命令根據當前的/var/log/wtmp檔案中的登入進入和退出來報告使用者串連的時間小時），如果不使用標誌，則報告總的時間。另外，可以加一些參數，例如，last -t 7表示顯示上一周的報告。
lastlog命令 lastlog檔案在每次有使用者登入時被查詢。可以使用lastlog命令檢查某特定使用者上次登入的時間，並格式化輸出上次登入日誌/var/log/lastlog的內容。它根據UID排序顯示登入名稱、連接埠號碼tty）和上次登入時間。如果一個使用者從未登入過，lastlog顯示“**Never logged**”。注意需要以root身份運行該命令。運行該命令如下所示:
[root@working]# lastlog
Username Port From Latest
root pts/1 10.0.2.129 二 5月 10 10:13:26 +0800 2005
opal pts/1 10.0.2.129 二 5月 10 10:13:26 +0800 2005

使用Syslog裝置

Syslog已被許多日誌函數採納，被用在許多保護措施中，任何程式都可以通過syslog 記錄事件。Syslog可以記錄系統事件，可以寫到一個檔案或裝置中，或給使用者發送一個資訊。它能記錄本地事件或通過網路記錄另一個主機上的事件。
Syslog裝置核心包括一個守護進程/etc/syslogd守護進程）和一個設定檔/etc/syslog.conf設定檔）。通常情況下，多數syslog資訊被寫到/var/adm或/var/log目錄下的資訊檔中messages.*）。一個典型的syslog記錄包括產生程式的名字和一個文本資訊。它還包括一個裝置和一個優先順序範圍。
系統管理員通過使用syslog.conf檔案，可以對產生的Linux系統日誌的位置及其相關資訊進行靈活配置，滿足應用的需要。例如，如果想把所有郵件訊息記錄到一個檔案中，則做如下操作:
#Log all the mail messages in one place
mail.* /var/log/maillog
其他裝置也有自己的Linux系統日誌。UUCP和news裝置能產生許多外部訊息。它把這些訊息存到自己的日誌/var/log/spooler）中並把層級限為"err"或更高。例如:
# Save news errors of level crit and higher in a special file.
uucp,news.crit /var/log/spooler
當一個緊急訊息到來時，可能想讓所有的使用者都得到。也可能想讓自己的Linux系統日誌接收並儲存。
#Everybody gets emergency messages， plus log them on anther machine
*.emerg *
*.emerg @linuxaid.com.cn
使用者可以在一行中指明所有的裝置。下面的例子把info或更進階別的訊息送到/var/log/messages，除了mail以外。層級"none"禁止一個裝置:
#Log anythingexcept mail）of level info or higher
#Don't log private authentication messages!
*.info:mail.none;autHPriv.none /var/log/messages
在有些情況下，可以把Linux系統日誌送到印表機，這樣網路入侵者怎麼修改Linux系統日誌都不能清除入侵的痕迹。因此，syslog裝置是一個攻擊者的顯著目標，破壞了它將會使使用者很難發現入侵以及入侵的痕迹，因此要特別注意保護其守護進程以及設定檔。

1. 深入討論Linux系統日誌管理
2. 詳細講解Linux系統VPN伺服器配置
3. 簡介運用光碟片安裝Linux系統
4. Fedora Linux系統下操作實現虛擬檔案
5. 詳細介紹Linux系統安裝與GNOME案頭