基本介绍

• 日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括信息的登录信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等；
• 日志对于安全来说也很重要，它记录了系统每天发生的各种事情，通过日志来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。
• 日志是用来记录重大事件的工具

日志文件保存位置

/var/log/ 目录下

系统常用日志

日志管理服务

示意图

查询Linux中的rsyslogd服务是否启动

ps aux | grep “rsyslog” | grep -v “grep”

查询rsyslogd服务的自启动状态

systemctl list-unit-files | grep rsyslog

配置文件：/etc/rsyslog.conf

格式

* .*：第一个代表日志类型，第二个代表日志级别

日志类型

日志级别

日志记录格式

• 事件产生的时间
• 产生事件的服务器的主机名
• 产生事件的服务名或程序名
• 事件的具体信息

自定义日志文件

1. vim /etc/rsyslog.conf打开日志文件并编辑
2. *.* 日志存储文件名

日志轮替

基本介绍

日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存范围之后，就会进行删除。

日志轮替文件命名

1. centos7使用logrotate进行日志轮替管理，要想改变日志轮替文件名字，通过/etc/logrotate.conf配置文件中"dateext"参数；
2. 如果配置文件中有"dateext"参数，那么日志会用日期来作为日志文件的后缀，例如"secure-20201010"。这样日志文件名不会重叠，也就不需要日志文件改名了。只需要指定保存日志个数，删除多余的日志文件即可。
3. 如果配置文件中没有"dateext"参数，日志文件就需要进行改名了。当第一次进行日志轮替时，当前的"secure"日志会自动改名为"secure.1"，然后新建"secure"日志，用来保存新的日志。当第二次进行日志轮替时，“secure.1"会自动改名为"secure.2”,当前的secure日志会自动改名为"secure.1"，然后也会新建"secure"日至，用来保存新的日志，以此类推。

示意图

参数说明

日志轮替机制原理

日志轮替之所以可以在指定的时间备份日志，是依赖系统定时任务。在/etc/cron.daily目录，就会发现这个目录中是有logrotate文件，logrotate通过这个文件依赖定时任务

查看内存日志

在/etc/cron.daily目录，就会发现这个目录中是有logrotate文件，logrotate通过这个文件依赖定时任务