簡介Linux記錄檔

這裡先簡單介紹一下Linux記錄檔，和有關Linux記錄檔的類型，以及對有關係統服務的日誌的類型。學習Linux記錄檔時間相當有意義的知識點。

日誌對於安全來說，非常重要，他記錄了系統每天發生的各種各樣的事情，你可以通過他來檢查錯誤發生的原因，或者受到攻擊時攻擊者留下的痕迹。日誌主要的功能有：審計和監測。他還可以即時的監測系統狀態，監測和追蹤侵入者等等。

在Linux系統中，有三個主要的日誌子系統：
連線時間日誌--由多個程式執行，把紀錄寫入到/var/log/wtmp和/var/run/utmp，login等程式更新wtmp和utmp檔案，使系統管理員能夠跟蹤誰在何時登入到系統。
進程統計--由系統核心執行。當一個進程終止時，為每個進程往進程統計檔案pacct或acct）中寫一個紀錄。進程統計的目的是為系統中的基本服務提供命令使用統計。
錯誤記錄檔--由syslogd8）執行。各種系統守護進程、使用者程式和核心通過syslog3）向檔案/var/log/messages報告值得注意的事件。另外有許多UNIX程式建立日誌。像HTTP和FTP這樣提供網路服務的伺服器也保持詳細的日誌。

常用的記錄檔如下：
access-log 紀錄HTTP/web的傳輸
acct/pacct 紀錄使用者命令
aculog 紀錄MODEM的活動
btmp 紀錄失敗的紀錄
lastlog 紀錄最近幾次成功登入的事件和最後一次不成功的登入
messages 從syslog中記錄資訊有的連結到syslog檔案）
sudolog 紀錄使用sudo發出的命令
sulog 紀錄使用su命令的使用
syslog 從syslog中記錄資訊通常連結到messages檔案）
utmp 紀錄當前登入的每個使用者
wtmp 一個使用者每次登入進入和退出時間的永久紀錄
xferlog 紀錄FTP會話

utmp、wtmp和lastlog記錄檔是多數重用UNIX日誌子系統的關鍵--保持使用者登入進入和 退出的紀錄。有關當前登入使用者的資訊記錄在檔案utmp中；登入進入和退出紀錄在檔案 wtmp中；最後一次登入檔案可以用lastlog命令察看。資料交換、關機和重起也記錄在wtmp檔案中。所有的紀錄都包含時間戳記。這些檔案lastlog通常不大）在具有大量使用者 的系統中增長十分迅速。例如wtmp檔案可以無限增長，除非定期截取。許多系統以一天 或者一周為單位把wtmp配置成迴圈使用。它通常由cron啟動並執行指令碼來修改。這些指令碼重新命名並迴圈使用wtmp檔案。通常，wtmp在第一天結束後命名為wtmp.1；第二天后wtmp .1變為wtmp.2等等，直到wtmp.7。
每次有一個使用者登入時，login程式在檔案lastlog中察看使用者的UID。如果找到了，則把使用者上次登入、退出時間和主機名稱寫到標準輸出中，然後login程式在lastlog中紀錄新的登入時間。在新的lastlog紀錄寫入後，utmp檔案開啟並插入使用者的utmp紀錄。該紀錄一直用到使用者登入退出時刪除。utmp檔案被各種命令檔案使用，包括who、w、users和finger。
下一步，login程式開啟檔案wtmp附加使用者的utmp紀錄。當使用者登入退出時，具有更新時 間戳的同一utmp紀錄附加到檔案中。wtmp檔案被程式last和ac使用。

1. 全面解析Linux計劃任務cron
2. 全面解析Linux時鐘
3. 詳細解析Linux密碼破解問題
4. 全面總結查看Linux全部硬體資訊
5. 全面解析Linux特殊使用者權限的分配