Linux日志审计
目录1、日志文件的功能和分类
日志的功能
用于记录系统、程序运行中发生的各种事件。
通过阅读日志，有助于诊断和解决系统故障日志。
文件的分类
1、内核及系统日志：由系统 syslog 统一进行管理，日志格式基本相似。
2、用户日志/服务日志：记录系统用户登录及退出系统的相关信息。（启动时必须要有的服务信息-ssh/dhcp）
3、程序：由各种应用程序独立管理的日志文件，记录格式不统一。（额外下载的程序）
日志属于内核的一部分。
内核：在启动的过程当中，文件系统是后加载。但没加载文件系统的话则数据无法进行处理，无法将文件系统加载之前的数据进行关联。
内核日志：调用内核时产生的日志消息，会单独存放在内核日志当中。
数据的管理方式通过文件系统实现。
syslog（回调函数）：是日志记录的统一标准。
syslogd/dmesg进程一般是可以被人为终止、调用的，但守护进程不接受任何终端控制(随着系统开启而开启，随着系统关闭而关闭)。
2、日志文件保存位置和文件介绍
Linux操作系统本身和大部分服务器程序的日志文件都默认放在目录/var/log/下。
一部分程序共用一个日志文件，一部分程序使用单个日志文件，而有些大型服务器程序由于日志文件不止一个，所以会在/var/log/目录中建立相应的子目录来存放日志文件，这样既保证了日志文件目录的结构清晰，又可以快速定位日志文件。
有相当一部分日志文件只有root用户才有权限读取,这保证了相关日志信息的安全性。
Linux日志文件常用的保存方式-->回滚切割：将日志分割为一部分一部分来进行存储，这样子的好处是单个日志文件量不会很大，加载速度不会很慢，也方便查看。
日志文件保存位置
/var/log/目录下的日志文件(日志保存位置默认位于/var/log目录下)：（知道、了解）
/var/log/boot.log ->包含系统启动时的日志/该文件记录了系统在引导过程中发生的事件
/var/log/utmp ->包含登录退出信息
/var/log/secure ->包含验证和授权信息/Linux系统安全日志，记录用户和工作组的情况、用户登陆认证情况。 (重要)
/var/log/dpkg.log ->包含安装或dpkg命令清除软件包的日志
/var/log/kern.log ->包含内核产生的日志，有助于在定制内核时解决问题
/var/log/Xorg.x.log ->来自X的日志信息
/var/log/alternatives.log ->更新替代信息都记录在这个文件中
/var/log/cups ->涉及所有打印信息的日志
/var/log/anaconda.log ->在安装Linux时，所有安装信息都储存在这个文件中
/var/log/yum.log ->包含使用yum安装的软件包信息
/var/log/cron ->每当cron进程进行一个工作，就会将相关信息记录在此文件中/计划任务 (重要)
文件介绍
主要日志文件介绍：
日志文件 描述
/var/log/cron 记录了系统定时任务相关的日志
/var/log/cups 记录打印信息的日志
/var/log/dmesg 记录了系统在开机时内核自检的信息，也可以使用dmesg命令直接查看内核自检信息
/var/log/mailog 记录邮件信息
/var/log/message 记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大多数重要信息，如果系统出现问题时，首先要检查的就应该是这个日志文件
/var/log/btmp 记录错误登录日志，这个文件是二进制文件
/var/log/lastlog 记录系统中所有用户最后一次登录时间的日志，这个文件是二进制文件
/var/log/wtmp 永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件
/var/log/utmp 记录当前已经登录的用户信息，这个文件会随着用户的登录和注销不断变化，只记录当前登录用户的信息。同样这个文件不能直接vi，而要使用w,who,users等命令来查询
/var/log/secure 记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如SSH登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中
内核及公共消息日志(大部分程序的运行日志-一些错误信息)/var/log/messages
[root@localhost log]# cd /var/log
[root@localhost log]# cat ./messages
[root@localhost log]# tail -f /var/log/messages //tail -f表示显示最后/最近的十条消息（用于报错时的检查）
守护进程相关的日志（计算机启动相关的内核日志）：
[root@localhost log]# cat ./dmesg
3、管理日志服务的配置文件
//定义日志的存放过程以及日志的存放位置，在下面的文件目录下：
[root@localhost ~]# cat /etc/rsyslog.conf //查看日志存放的规定文件（管理日志的配置文件）
# rsyslog configuration file
# For more information see /usr/share/doc/rsyslog-*/rsyslog_conf.html
# If you experience problems, see http://www.rsyslog.com/doc/troubleshoot.html
#### MODULES ####
# The imjournal module bellow is now used as a message source instead of imuxsock.
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
$ModLoad imjournal # provides access to the systemd journal
#$ModLoad imklog # reads kernel messages (the same are read from journald)
#$ModLoad immark # provides --MARK-- message capability
# Provides UDP syslog reception
#$ModLoad imudp
#$UDPServerRun 514
# Provides TCP syslog reception
#$ModLoad imtcp
#$InputTCPServerRun 514
#### GLOBAL DIRECTIVES ####
# Where to place auxiliary files
$WorkDirectory /var/lib/rsyslog
# Use default timestamp format
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
# File syncing capability is disabled by default. This feature is usually not required,
# not useful and an extreme performance hit
#$ActionFileEnableSync on
# Include all config files in /etc/rsyslog.d/
$IncludeConfig /etc/rsyslog.d/*.conf
# Turn off message reception via local log socket;
# local messages are retrieved through imjournal now.
$OmitLocalLogging on
# File to store the position in the journal
$IMJournalStateFile imjournal.state
#### RULES ####
# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.* /dev/console
例:与kern.* 服务相关的均放入/dev/console文件目录下。
# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none /var/log/messages
# The authpriv file has restricted access.
authpriv.* /var/log/secure
# Log all the mail messages in one place.
mail.* -/var/log/maillog
# Log cron stuff
cron.* /var/log/cron
# Everybody gets emergency messages
*.emerg :omusrmsg:*
# Save news errors of level crit and higher in a special file.
uucp,news.crit /var/log/spooler
# Save boot messages also to boot.log
local7.* /var/log/boot.log
# ### begin forwarding rule ###
# The statement between the begin ... end define a SINGLE forwarding
# rule. They belong together, do NOT split them. If you create multiple
# forwarding rules, duplicate the whole block!
# Remote Logging (we use TCP for reliable delivery)
#
# An on-disk queue is created for this action. If the remote host is
# down, messages are spooled to disk and sent when it is up again.
#$ActionQueueFileName fwdRule1 # unique name prefix for spool files
#$ActionQueueMaxDiskSpace 1g # 1gb space limit (use as much as possible)
#$ActionQueueSaveOnShutdown on # save messages to disk on shutdown
#$ActionQueueType LinkedList # run asynchronously
#$ActionResumeRetryCount -1 # infinite retries if host is down
# remote host is: name/ip:port, e.g. 192.168.0.1:514, port optional
#*.* @@remote-host:514
# ### end of the forwarding rule ###
4、内核及系统日志
这种日志数据由系统服务 rsyslog 统一管理，根据其主配置文件/etc/rsyslog.conf中的设置决定将内核消息及各种系统程序消息记录到什么位置。
系统中有相当一部分程序会把自己的日志文件交由 rsyslog 管理，因而这些程序使用的日志记录也具有相似的格式。
5、日志消息的级别
日志消息的级别（事件处理的轻重缓急）：
0 EMERG（紧急）：会导致主机系统不可用的情况
1 ALERT（警告）：必须马上采取措施解决问题
2 CRIT（严重）：比较严重的情况
3 ERR（错误）：运行出现错误（一般能处理的日志等级）（三级及三级以下就越来越严重了）
4 WARNING （提醒）：可能会影响系统功能的事件
5 INFO（信息）：一般信息
6 DEBUG（调试）：程序或系统调试信息等
日志消息等级3：
[root@localhost ~]# systemctl restart NetworkManager //当网卡配置出现问题时可以选择将该网络管理关闭，再重启网卡
6、日志记录的一般格式
看消息日志：（tail -f表示显示最后的十条消息）
基本解读：①时间 ②主机名 ③服务/进程 ④消息
systemd----表示内核进程
[root@localhost ~]# tail -f /var/log/messages
Oct 21 19:26:24 localhost pulseaudio: Most likely this is a bug in the ALSA driver 'snd_ens1371'. Please report this issue to the ALSA developers.
Oct 21 19:26:24 localhost pulseaudio: We were woken up with POLLOUT set -- however a subsequent snd_pcm_avail() returned 0 or another value < min_avail.
Oct 21 19:30:01 localhost systemd: Started Session 4 of user root.
Oct 21 19:40:01 localhost systemd: Started Session 5 of user root.
Oct 21 19:42:14 localhost systemd: [/usr/lib/systemd/system/firstboot-graphical.service:14] Support for option SysVStartPriority= has been removed and it is ignored
Oct 21 19:42:14 localhost systemd: [/usr/lib/systemd/system/mdcheck_start.timer:12] Failed to parse calendar specification, ignoring: Sun *-*-1..7 1:00:00
Oct 21 19:42:14 localhost systemd: mdcheck_start.timer lacks value setting. Refusing.
Oct 21 19:42:28 localhost systemd: [/usr/lib/systemd/system/firstboot-graphical.service:14] Support for option SysVStartPriority= has been removed and it is ignored
Oct 21 19:42:28 localhost systemd: [/usr/lib/systemd/system/mdcheck_start.timer:12] Failed to parse calendar specification, ignoring: Sun *-*-1..7 1:00:00
Oct 21 19:42:28 localhost systemd: mdcheck_start.timer lacks value setting. Refusing.
7、用户日志分析
暂无
8、程序日志分析
暂无
9、日志服务器搭建
10、补充
[root@localhost ~]# systemctl restart network //重启下网络
[root@localhost ~]# tail -n 10 /var/log/messages | grep network
//读取最近10行消息发现重启网卡记录已经在日志文件中当中存在(可用于网络服务的排错)
Oct 21 20:10:29 localhost systemd: Started LSB: Bring up/down networking.
检索日志方法：
tail (默认查看后10行) 【tail -f [路径]】
-n x：读取最近x行消息
-Ax：关键词所在行与其下x行消息
-Bx：关键词所在行与其上x行消息
tail -f file.log //持续输出日志,可添加 | grep “关键字”
tail -n 100 file.log | grep “关键字” //输出文件的后100行中包含的关键字的行（-n 100 即 –lines=100）
tail -n 100 file.log | grep “关键字” -A10 //输出文件的后100行中包含关键字的行和该行的后10行
tail -n 100 file.log | grep “关键字” -B10 //输出文件的后100行中包含关键字的行和该行的前10行
tail -n 100 file.log | grep “关键字” –B10-A10 //输出文件的后100行中包含关键字的行和该行的前后10行
[root@localhost ~]# systemctl list-unit-files | grep enabled //显示所有服务的列表，筛选出所有可用的服务
lastlog命令解读：
[root@localhost ~]# lastlog -t 1000
Username Port From Latest
root :0 Wed Sep 28 20:28:04 +0800 2022
gdm :0 Wed Sep 28 20:27:53 +0800 2022
xzm :0 Wed Sep 28 20:09:29 +0800 2022
reboot system boot 3.10.0-1160.el7. Wed Sep 28 20:20 - 20:12 (1+23:51)
①用户名②终端③来源④开始时间⑤结束时间⑥持续时间
3.10.0-1160.el7.：内核版本
:0：本地登录
pts：是pty的实现方法/控制终端
tty：终端；虚拟终端pty(pseudo-tty)
lastb：登录失败日志
last：登录成功日志 ， 还可以查看用户在线状态
[root@localhost ~]# lastlog -t 2 //最近两天用户登录消息
[root@localhost ~]# w //显示当前登录用户及这些用户正在做什么的命令。它同时也能显示系统运行时长，当前系统时间和系统平均负载情况。
[root@localhost ~]# lastb //last与lastb命令用来列出目前与过去登录系统的用户相关信息。
[root@localhost ~]# ss //ss是Socket Statistics的缩写。顾名思义，ss命令可以用来获取socket统计信息，它可以显示和netstat类似的内容。ss的优势在于它能够显示更多更详细的有关TCP和连接状态的信息，而且比netstat更快速更高效。
[root@localhost ~]# stat bbb //bbb为文件名（stat：时间命令）
Access: 2022-10-21 20:38:00.289546112 +0800 //最近一次访问
Modify: 2022-10-21 20:38:02.676545904 +0800 //最近一次修改
Change: 2022-10-21 20:38:02.676545904 +0800 //最近一次改变（chmod、chown）