syslog-系统日志应用
syslog之一：Linuxsyslog日志系统详解
syslog之⼀：Linuxsyslog⽇志系统详解# ⼀、syslog简介syslog是⼀种⼯业标准的协议，可⽤来记录设备的⽇志。
在UNIX系统，路由器、交换机等⽹络设备中，系统⽇志(System Log)记录系统中任何时间发⽣的⼤⼩事件。
管理者可以通过查看系统记录，随时掌握系统状况。
UNIX的系统⽇志是通过syslogd这个进程记录系统有关事件记录，也可以记录应⽤程序运作事件。
通过适当的配置，我们还可以实现运⾏syslog 协议的机器间通信，通过分析这些⽹络⾏为⽇志，藉以追踪掌握与设备和⽹络有关的状况。
功能：记录⾄系统记录。
# ⼆、syslog服务与配置2.1、安装syslog软件包软件包名称为：rsyslog-5.8.10-10.el6_6.x86_64我⽤的是centos系统，配置的有第三⽅的yum源，我直接yum install直接装就OK了装完后⽤ rpm -qa | grep syslog下看是否已安装2.2、syslog⽇志系统可以根据程序详细信息的不同定义不同的⽇志级别2.3、Linux上的⽇志系统分为：syslog和syslog-ng（syslog⽇志系统的升级版）2.4、syslog服务：syslog服务进程分两个，分别是：syslogd（系统，⾮内核产⽣的⽇志）和klogd（专门记录内核产⽣的⽇志）kernel-->物理终端（/dev/console）-->/var/log/dmesg 其中/var/log/dmesg⽂件可以使⽤dmesg命令和cat查看⽂件内容⽇志滚动（⽇志切割）：所谓的滚动是指历史信息所保存的⽇志，如;messages⽂件⽇志会越来越⼤等到了某⼀段时间，会把messages⽂件重新命名为messages.1，系统并重新创建messages⽂件，所以叫做⽇志滚动/sbin/init/var/log/messages:系统标准错误⽇志信息；⾮内核产⽣的引导信息，各⼦系统产⽣的信息/vat/log/maillog:邮件系统产⽣的⽇志信息/vat/log/secure:安全相关log系统⾃带的⽇志切割程序logrotatelogrotate脚本配置⽂件[root@localhost cron.daily]# pwd/etc/cron.daily[root@localhost cron.daily]# vim logrotate滚动⽇志信息配置⽂件[root@localhost cron.daily]# pwd/etc/cron.daily[root@localhost cron.daily]# vim /etc/logrotate.conf# see "man logrotate"for details# rotate log files weeklyweekly #每周滚动⼀次# keep 4 weeks worth of backlogsrotate 4 #只保留4个切割版本⽂件，超过后清除# create new (empty) log files after rotating old onescreate #滚动完之后创建⼀个空的新的⽂件# use date as a suffix of the rotated filedateext# uncomment this if you want your log files compressed#compress# RPM packages drop log rotation information into this directoryinclude /etc/logrotate.d #包括/etc/logrotate.d 下的⽂件，⼿动添加可直接添加到此⽬录# no packages own wtmp and btmp -- we'll rotate them here/var/log/wtmp{monthly #按⽉，⾃⼰定义create 0664 root utmp #创建⽂件并0664权限minsize 1M #最新1Mrotate 1 #保留⼏个版本}/var/log/btmp{missingokmonthlycreate 0600 root utmprotate 1}# system-specific logs may be also be configured here.[root@localhost cron.daily]#syslog配置⽂件/etc/rsyslog.conf注：centos 6 的配置⽂件是/etc/rsyslog.conf，centos5的配置⽂件是/etc/syslog.conf2.5、配置⽂件定义格式为facility.priority actionfacility是指哪个facility来源产⽣的⽇志； priority是指拿个级别的⽇志；action是指产⽣⽇志怎么办是保存在⽂件中还是其他。
SYSlog介绍
SyslogSyslog在网络管理中的应用Syslog是一种工业标准的协议，可用来记录设备的日志。
在UNIX系统，路由器、交换机等网络设备中，系统日志（System Log）记录系统中任何时间发生的大小事件。
管理者可以通过查看系统记录，随时掌握系统状况。
UNIX的系统日志是通过syslogd这个进程记录系统有关事件记录，也可以记录应用程序运作事件。
通过适当的配置，我们还可以实现运行syslog协议的机器间通信，通过分析这些网络行为日志，藉以追踪掌握与设备和网络有关的状况。
关键词：Syslog，Syslogd，Priority（PRI），Facility，Severity，Header，Message（MSG），Timestamp。
1．引言电信运营商的网络庞大而复杂，其上运行着多种网络设备、主机系统以及业务应用。
而且随着电信业的不断发展，各种新业务的推出，不同的系统纷纷建立，网络的复杂性不断增长，使得被管理的对象在系统中不是集中的而是分散的。
分布式的管理必然要求网络管理员在网络的协议层次结构上对系统管理做出重新的认识，通过适当的策略实现集中式管理，实现事件的实时监控和快速响应的网络管理。
传统的网络管理员关心的问题不单是安装配置、备份恢复、系统安全、性能优化等，还必须从OSI模型不同的层次重新考虑系统管理的内容和形式，再加上承载业务的特点，侧重于事件监控和响应的建设是当今网络管理的主要方向。
2．网络管理的原则和要求从技术的角度来说，网络管理有两条原则：1、由于管理信息而带来的通行量不应明显的增加网络的通信量。
2、被管理设备上的协议代理不应明显得增加系统处理的额外开销，以致于该设备的主要功能都被削弱。
网络管理的对象主要是构成网络的硬件和软件应用所组成。
这一类包括工作站、服务器、网卡、路由器、网桥和集线器等等。
通常情况下这些设备都分散在不同的地方，另外由于设备众多，要做到实时实地管理需要大量的人力和物力。
syslog 日志格式
syslog 日志格式Syslog是一种标准日志记录格式，被广泛应用于设备的日志收集、存储和分析。
syslog 的主要特点是可定制化，能够满足不同场景下日志记录的需求。
本文将主要介绍syslog的日志格式、特点和应用场景。
一、syslog 日志格式syslog 日志格式是一种文本格式，由三部分构成：PRI、HEADER和MESSAGE。
其中PRI是日志的优先级，在0~191范围内，数字越大优先级越低，数字越小优先级越高。
HEADER包含放置在尖括号内 P、S、HOSTNAME、TIMESTAMP等信息。
MESSAGE是日志的主体信息，也是最具实际意义的部分，它记录了日志所需要的各种详细信息。
PRI 的格式如下：<优先级>HEADER 的格式如下：P：进程ID；S：进程号；HOSTNAME：主机标识；TIMESTAMP：日志时间戳；MESSAGE的格式可以根据实际场景进行自定义。
例如记录系统状态信息时，MESSAGE需要记录当前CPU占用率、内存使用率、磁盘空间占用率等；而记录安全事件时，MESSAGE可能需要记录被攻击IP、攻击方式、尝试登录用户信息等。
二、syslog的特点1.轻量级。
syslog 是一种轻量级的日志记录格式。
因为它只记录必要的信息，因此日志文件的体积较小，易于管理和维护。
2.可定制化。
syslog可以根据不同应用场景进行定制，记录不同的日志内容，保证日志记录的全面性和准确性。
3.可扩展性。
syslog可以与其他工具进行集成，如ELK、Splunk、Graylog等，从而提高日志的可操作性和可读性。
4.可追溯性。
syslog可以记录ＩＰ地址、进程号、时间戳等信息，可以方便地对日志进行追溯和回溯。
三、syslog的应用场景syslog通常用于以下场景：1.系统监控。
syslog可以记录系统的运行状况和资源使用情况，方便系统管理员了解系统状况。
2.故障排除。
syslog可以帮助维护人员迅速发现系统中的问题，并快速定位原因，从而进行故障排除。
syslog介绍
完整的syslog日志中包含产生日志的程序模块（Facility）、严重性（Severity或 Level）、时间、主机名或IP、进程名、进程ID和正文。在Unix类操作系统上，能够按Facility和Severity的组合来决定什么样的日志消息是否需要记录，记录到什么地方，是否需要发送到一个接收syslog的服务器等。由于syslog简单而灵活的特性，syslog不再仅限于 Unix类主机的日志记录，任何需要记录和发送日志的场景，都可能会使用syslog。
syslog消息发送到Collector的UDP 514端口，不需要接收方应答，RFC3164建议 Device 也使用514作为源端口。规定syslog消息的UDP报文不能超过1024字节，并且全部由可打印的字符组成。完整的syslog消息由3部分组成，分别是PRI、HEADER和MSG。大部分syslog都包含PRI和MSG部分，而HEADER可能没有。
1、syslog介绍
在Unix类操作系统上，syslog广泛应用于系统日志。syslog日志消息既可以记录在本地文件中，也可以通过网络发送到接收syslog的服务器。接收syslog的服务器可以对多个设备的syslog消息进行统一的存储，或者解析其中的内容做相应的处理。常见的应用场景是网络管理工具、安全管理系统、日志审计系统。
不过这个规范的很多内容都不是强制性的，常常是“建议”或者“约定”，也由于这个规范出的比较晚，很多设备并不遵守或不完全遵守这个规范。接下来就介绍一 下这个规范。
约定发送syslog的设备为Device，转发syslog的设备为Relay，接收syslog的设备为Collector。Relay本身也可以发送自身的syslog给Collector，这个时候它表现为一个Device。Relay也可以只转发部分接收到的syslog消息，这个时候它同时表现为Relay和Collector。
syslog协议
syslog协议Syslog协议。
Syslog是一种用于系统日志的标准协议，它可以帮助系统管理员收集、存储和分析各种设备和应用程序生成的日志信息。
通过Syslog协议，可以将日志信息发送到远程日志服务器，实现集中管理和监控。
本文将介绍Syslog协议的基本原理、工作流程和常见应用场景。
Syslog协议的基本原理是通过网络传输日志信息，它使用UDP协议进行数据传输。
Syslog消息由设备或应用程序生成，并包含了时间戳、设备标识、进程标识、消息内容等信息。
这些消息可以被发送到远程Syslog服务器，也可以在本地存储。
Syslog协议支持丰富的日志级别，包括debug、info、notice、warning、error、critical、alert和emergency，可以根据实际需求对日志进行分类和过滤。
Syslog协议的工作流程包括日志生成、日志传输和日志存储。
首先，设备或应用程序生成日志消息，并根据配置将消息发送到指定的Syslog服务器。
然后，Syslog服务器接收到消息后，可以进行进一步的处理，比如存储到数据库、发送邮件通知、触发报警等。
最后，管理员可以通过Syslog服务器的管理界面对日志进行查询、分析和报表生成。
Syslog协议在实际应用中有着广泛的应用场景。
首先，它可以帮助系统管理员实时监控系统运行状态，及时发现和解决问题。
其次，Syslog协议可以用于安全审计和合规性监控，对于一些行业和法规有严格要求的企业来说尤为重要。
此外，Syslog协议还可以用于网络设备的故障诊断和性能优化，帮助管理员及时发现网络问题并采取相应措施。
总的来说，Syslog协议作为一种标准的系统日志管理协议，具有重要的意义和价值。
它可以帮助管理者实时监控系统运行状态，及时发现和解决问题，提高系统的稳定性和安全性。
同时，Syslog协议还可以用于合规性监控和性能优化，为企业的信息化建设提供有力的支持。
综上所述，Syslog协议是一种非常重要的系统日志管理协议，它通过网络传输日志信息，帮助管理员实时监控系统运行状态，及时发现和解决问题。
Linux系统日志管理工具介绍使用rsyslog和syslogng
Linux系统日志管理工具介绍使用rsyslog和syslogngLinux系统日志管理工具介绍使用rsyslog和syslog-ngLinux系统日志对于系统管理和故障排除非常重要。
为了帮助管理员更有效地管理系统日志，Linux提供了多个日志管理工具。
本文将介绍两个主要的Linux系统日志管理工具：rsyslog和syslog-ng。
一、rsyslogrsyslog是Linux上的默认系统日志守护进程。
它是标准syslog守护进程的升级版本，提供了更强大的功能和灵活性。
以下是rsyslog的一些主要特点：1. 高度可配置：rsyslog提供了丰富的配置选项，允许管理员灵活地定义日志记录规则和目标。
2. 支持统一的远程日志管理：rsyslog可以将日志发送到远程服务器，方便集中管理和分析。
3. 强大的过滤功能：rsyslog提供了强大的过滤功能，可以根据不同的条件过滤日志条目，以便更好地跟踪和分析特定事件。
4. 可靠性和高性能：rsyslog被广泛用于生产环境中，具有良好的稳定性和高性能。
二、syslog-ngsyslog-ng是另一个流行的Linux系统日志管理工具。
它是syslog的替代品，提供了更多的功能和配置选项。
以下是syslog-ng的一些主要特点：1. 灵活的日志收集和路由：syslog-ng允许管理员从多个源收集日志，并根据配置规则将日志路由到指定的目标。
2. 多种日志格式支持：syslog-ng支持多种常见的日志格式，例如JSON、CSV等，方便管理员的日志分析和处理。
3. 可扩展性：syslog-ng提供了插件机制，可以扩展其功能，例如添加新的日志源或目标。
4. 多平台支持：syslog-ng支持多个操作系统平台，包括Linux、Unix和Windows。
在实际使用中，rsyslog和syslog-ng都可以满足大多数日志管理需求。
管理员可以根据自己的具体情况选择合适的工具。
syslog日志的结构
syslog日志的结构一、引言syslog是一种用于记录系统事件和错误的标准协议，它能够帮助管理员监控和分析系统运行情况。
syslog日志的结构是指该日志的格式和组成部分，了解这些结构对于理解日志内容和进行故障排查非常重要。
二、syslog日志的基本结构syslog日志通常由三个部分组成：优先级、时间戳和消息。
下面将详细介绍每个部分的含义和用途。
1. 优先级：syslog日志根据事件的严重程度划分了8个优先级，从0（紧急）到7（调试）。
优先级用于帮助管理员快速识别和处理重要事件。
在日志中，优先级一般由一个数字和一个关键字组成，例如"5: notice"表示事件的优先级为5，属于一般通知。
2. 时间戳：时间戳记录了事件发生的具体时间。
它的格式通常为年-月-日时:分:秒（例如2021-01-01 10:30:00），有时还会包含毫秒级的精确时间。
时间戳对于排查问题的时间顺序和时效性非常重要。
3. 消息：消息部分是syslog日志最关键的部分，它记录了事件的详细信息。
消息可以包含各种各样的内容，例如错误消息、警告、通知、调试信息等等。
消息的内容和格式由具体的应用程序或设备决定。
三、syslog日志的扩展结构syslog日志的基本结构只包含了优先级、时间戳和消息三个部分，但实际应用中往往会对日志进行扩展，以满足更复杂的监控和分析需求。
下面介绍两种常见的扩展结构。
1. 主机名和进程标识：有些syslog日志会在消息部分前面加上主机名和进程标识，以标识事件发生的主机和进程。
主机名和进程标识可以帮助管理员快速定位事件来源，提高故障排查的效率。
2. 设备标识和设备类型：在网络设备和服务器中，日志通常会包含设备标识和设备类型。
设备标识用于唯一标识一个设备，而设备类型则用于区分不同类型的设备。
这些信息对于监控和管理大规模网络非常重要。
四、syslog日志的应用场景syslog日志广泛应用于各种系统和设备中，下面列举几个常见的应用场景。
syslog搭建服务器登录日志系统
＃ ｘ ｄｉ； ｌ ￣ ＤＸＳ ｓｌ ｌ ｌｅ
“ ｓ ｓ ｕ ｄ ￣ ｆ ｉ 】 ｙ ｌｇ （ ｆ ｌ… ｆ、 ｌ ｉ Ｉｔ ｓ （ａｉ
ＳＹＳｌ ） Ｊ（ ＪＩ （ ＮＳ 川 （ Ｊ Ｉ） ｉ ｘ 川 ¨川
地 策 ｄ 修 略 中的 审核策 略 ．如 下图所 示 ：
根 据 系统 的版 本 下载 ３ 位 和 ６ ２ ４位 的程
序。
解 压 后是 ｅ ￡ ｙ ｄＪ 和 ｅ ｔ ｙ ． ｘ ｖＳ ｓ Ｊ ｖ ｓ ｓ ｅ ｅ。
的使 用情 况
把这两个文件拷 贝到＿ ：ｗｉｏ ｓｓｓｍ ２ ＿ ＼ ｎ ｗ ＼ｙｔ ３ ｃ ｄ ｅ
目录 下 。
ｓ ｓｏ 服务器配置 ｙ ｌｇ
一
【ｖ ｒ ｌ ｆ ． ｉｅ ／ ＿ ｉ（ ｙ１Ｈ ｐ ｐ ＿ 、 ／ ）
／ ａ １ ／ ｙ１ ｉ 是 一个 命 名管道 ． ｖｒ ０ ｓｓ ｇｐ ｅ ／ｇ ｏ ｐ 使 服 务 器接受 的信 息可 以传 给脚 本处 理 。
ｉ 表示 安装 成 系统 服 务
ｈ指 定 ｌ 服 务器 的 Ｉ 址 ｏ ｇ Ｐ 地
首先 ． 置 ＲｄＨｔ 自带 的 ｓｓ ｇ 务 ． 配 ｅ ａ上 ｙｌ 服 ｏ 使 它能够 记 录来 自其他 服 务器 的 Ｉ 信息 。 ｏ ｇ
１
、
；１ １ ｉ １ ¨１ｌ ｖ． １ 】
打 开 Ｗｉ ｏ ｓ ｎ ｗ 命令提 示 符 ｄ
Ｃ． ＞ｅ ｔｙ －ｉ－ｈ １ ２ ６ １ ＼ ｖｓｓ １ ８ １ ９
一
下 载地 址为 ： ｔ ｓ ／ ｅｇ ｅ ｒ ｇ ｐ ｒ ｅ ｈｔ ： ／ ｎ ｉ ｅｉ ｕ ｕ ｐ ｎ ｎ ｄ
ｅ ｕ Ｅ Ｎ Ｒ ｓ ｕｃ ｓ Ｄ ｃ ｍｅｔ／ ＮＸ ｅ ｔｙ／ ｄ ／ Ｃ ／ ｅｏｒｅ／ ｏ ｕ ｎｓ Ｕ Ｉ／ ｖｓ ｓ
用Syslog记录各种OS平台日志的方法
用Syslog记录各种OS平台日志的方法用 Syslog 记录各种 OS 平台日志的方法在比较大规模的网络应用或者对安全有一定要求的应用中，通常需要对系统的日志进行记录分类并审核，默认情况下，每个系统会在本地硬盘上记录自己的日志，这样虽然也能有日志记录，但是有很多缺点：首先是管理不便，当服务器数量比较多的时候，登陆每台服务器去管理分析日志会十分不便，其次是安全问题，一旦有入侵者登陆系统，他可以轻松的删除所有日志，系统安全分析人员不能得到任何入侵信息。
因此，在网络中安排一台专用的日志服务器来记录系统日志是一个比较理想的方案。
本文以FreeBSD 下的syslog 为例，介绍如何利用 freebsd 的 syslogd 来记录来自 UNIX 和 windows 的 log 信息。
一、记录UNIX 类主机的log 信息首先需要对Freebsd 的syslog 进行配置，使它允许接收来自其他服务器的log 信息。
在/etc/rc.conf 中加入：syslogd_flags="-4 -a 0/0:*"说明：freebsd 的syslogd 参数设置放在/etc/rc.conf 文件的syslogd_flags 变量中Freebsd 对syslogd 的默认设置参数是syslogd_flags="-s"，(可以在/etc/defaults/rc.conf 中看到) 默认的参数-s 表示打开 UDP 端口监听，但是只监听本机的 UDP 端口，拒绝接收来自其他主机的 log 信息。
如果是两个 ss,即-ss，表示不打开任何 UDP 端口，只在本机用/dev/log 设备来记录 log. 修改后的参数说明： -4 只监听 IPv4 端口，如果你的网络是 IPv6 协议，可以换成-6 -a 0/0:* 接受来自所有网段所有端口发送过来的 log 信息。
如果只希望syslogd 接收来自某特定网段的log 信息可以这样写：-a 192.168.1.0/24:* -a 192.168.1.0/24:514 或者-a 192.168.1.0/24 表示仅接收来自该网段514 端口的log 信息，这也是freebsd 的syslogd 进程默认设置，也就是说 freebsd 在接收来自其他主机的 log 信息的时候会判断对方发送信息的端口，如果对方不是用 514 端口发送的信息，那么 freebsd 的 syslogd 会拒绝接收信息。
Linux操作系统下syslog日志函数使用的方法，超级有用
Linux下syslog日志函数使用许多应用程序需要记录它们的活动。
系统程序经常需要向控制台或日志文件写消息。
这些消息可能指示错误、警告或是与系统状态有关的一般信息。
例如，su程序会把某个用户尝试得到超级用户权限但失败的事实记录下来。
通常这些日志信息被记录在系统文件中，而这些系统文件又被保存在专用于此目的的目录中。
它可能是/usr/adm或/var/log目录。
对一个典型的Linux安装来说，文件/var/log/messages 包含所有系统信息，/var/log/mail包含来自邮件系统的其他日志信息，/var/log/debug可能包含调试信息。
你可以通过查看/etc/syslog.conf文件来检查系统配置。
下面是一些日志信息的样例：这里，我们可以看到记录的各种类型的信息。
前几个是Linux内核在启动和检测已安装硬件时自己报告的信息。
接着是任务安排程序cron报告它正在启动。
最后，su程序报告用户neil 获得了超级用户权限。
查看日志信息可能需要有超级用户特权。
有些UNIX系统并不像上面这样提供可读的日志文件，而是为管理员提供一些工具来读取系统事件的数据库。
具体情况请参考系统文档。
虽然系统消息的格式和存储方式不尽相同，可产生消息的方法却是标准的。
UNIX规范为所有程序提供了一个接口，通过syslog函数来产生日志信息：syslog函数向系统的日志工具发送一条日志信息。
每条信息都有一个priority参数，该参数是一个严重级别与一个设施值的按位或。
严重级别控制日志信息的处理，设施值记录日志信息的来源。
定义在头文件syslog.h中的设施值包括LOG_USER（默认值）——它指出消息来自一个用户应用程序，以及LOG_LOCAL0、LOG_LOCAL1直到LOG_LOCAL7，它们的含义由本地管理员指定。
严重级别按优先级递减排列，如表4-6所示。
表4-6优先级说明LOG_EMERG紧急情况LOG_ALERT高优先级故障，例如数据库崩溃LOG_CRIT严重错误，例如硬件故障LOG_ERR错误LOG_WARNING警告LOG_NOTICE需要注意的特殊情况LOG_INFO一般信息LOG_DEBUG调试信息根据系统配置，LOG_EMERG信息可能会广播给所有用户，LOG_ALERT信息可能会EMAIL给管理员，LOG_DEBUG信息可能会被忽略，而其他信息则写入日志文件。
Linux系统日志管理使用syslog和logrotate
Linux系统日志管理使用syslog和logrotate Linux系统由许多不同的组件组成，每个组件都会产生日志信息，这些日志是诊断和故障排除的重要工具。
为了有效地管理和存储这些日志，Linux系统提供了一些工具和技术。
本文将重点介绍syslog和logrotate这两个工具，它们在Linux系统日志管理中起到关键的作用。
一、syslogsyslog是Linux系统中的一个强大的日志管理器。
它负责收集、存储和传输各种系统日志信息。
syslog提供了一个标准化的接口，让不同的应用程序和服务都能将日志信息发送到同一个地方。
1. 配置syslogsyslog的配置文件位于/etc/syslog.conf。
通过编辑该文件，可以定义不同级别的日志信息应该被保存在哪个文件中。
例如，可以将错误级别的日志信息保存在一个独立的文件中，以便更方便地查找和分析。
2. 使用syslog在应用程序或服务的配置文件中，可以通过syslog将日志信息发送到syslog服务器。
这样，所有的日志信息都会被中心化地收集和管理，方便日后的分析和审查。
二、logrotatelogrotate是一个用于自动轮转日志文件的工具。
在Linux系统上，日志文件会不断地增大，如果不及时处理，将会占用大量的存储空间。
logrotate可以根据预定义的规则定期地对日志文件进行轮转，将旧的日志文件压缩或删除，以便释放存储空间。
1. 配置logrotatelogrotate的配置文件位于/etc/logrotate.conf。
通过编辑该文件，可以定义日志文件的轮转规则，包括轮转的频率、保留的历史日志文件数量等。
2. 使用logrotatelogrotate默认会按照配置文件中定义的规则对指定的日志文件进行轮转。
可以使用命令行工具`logrotate`手动执行轮转操作，也可以通过配置cron任务实现定期的自动轮转。
三、syslog和logrotate的配合使用syslog和logrotate是两个独立的工具，但它们可以很好地协作，完成对Linux系统日志的管理。
syslog使用方法
syslog使用方法一、什么是syslogsyslog是一种系统日志记录协议，用于在计算机网络上发送、接收和存储系统日志消息。
它可以帮助系统管理员监控和分析系统运行状态，诊断和解决问题，以及进行安全审计。
syslog可以用于各种操作系统和设备，如Unix、Linux、Windows、路由器、交换机等。
二、syslog的基本原理syslog的基本原理是通过网络传输日志消息。
它由三个主要组件组成：发送方（syslog client）、接收方（syslog server）和日志消息（syslog message）。
1. 发送方（syslog client）：发送方负责收集系统日志消息并将其发送到接收方。
发送方可以是操作系统的日志服务，也可以是应用程序或设备的日志功能。
2. 接收方（syslog server）：接收方是用于接收和存储日志消息的服务器。
它通常由系统管理员设置并运行在网络中的一台服务器上。
接收方可以收集来自多个发送方的日志消息，并对其进行存储、过滤和分析。
3. 日志消息（syslog message）：日志消息是由发送方生成的系统日志。
它包含了记录的事件、时间戳、设备信息、日志级别等重要信息。
日志消息可以根据不同的设备和应用程序进行格式化。
三、syslog的配置和使用步骤1. 配置发送方（syslog client）：- 在发送方上找到并编辑syslog配置文件，通常是/etc/syslog.conf或/etc/rsyslog.conf。
- 添加或修改配置项以指定syslog服务器的IP地址和端口号。
例如：*.* @192.168.1.100:514。
- 保存配置文件并重启syslog服务，使配置生效。
2. 配置接收方（syslog server）：- 在接收方上安装syslog服务器软件，如rsyslog、syslog-ng 等。
- 打开syslog服务器的配置文件，通常是/etc/syslog.conf或/etc/rsyslog.conf。
syslog详解及配置远程发送日志和远程日志分类
syslog详解及配置远程发送⽇志和远程⽇志分类syslog详解及配置远程发送⽇志和远程⽇志分类1、⽇志协议syslog# 1.1、syslog简介 完善的⽇志分析系统应该能够通过多种协议（包括syslog等）进⾏⽇志采集并对⽇志分析，因此⽇志分析系统⾸先需要实现对多种⽇志协议的解析。
其次，需要对收集到的海量⽇志信息进⾏分析，再利⽤数据挖掘技术，发现隐藏再⽇志⾥⾯的安全问题。
Syslog再UNIX系统中应⽤⾮常⼴泛，它是⼀种标准协议，负责记录系统事件的⼀个后台程序，记录内容包括核⼼、系统程序的运⾏情况及所发⽣的事件。
Syslog协议使⽤UDP作为传输协议，通过514端⼝通信，Syslog使⽤syslogd后台进程，syslogd启动时读取配置⽂件/etc/syslog.conf，它将⽹络设备的⽇志发送到安装了syslog软件系统的⽇志服务器，Syslog⽇志服务器⾃动接收⽇志数据并写到指定的⽇志⽂件中。
# 1.2、syslog⽇志格式syslog标准协议如下图： Syslog消息并没有对最⼩长度有所定义，但报⽂的总长度必须在1024字节之内。
其中PRI部分必须有3个字符，以‘<’为起始符，然后紧跟⼀个数字，最后以‘>’结尾。
在括号内的数字被称为Priority（优先级），priority值由Facility和severity两个值计算得出，这两个值的级别和含义见表1-1和表1-2。
下⾯是⼀个例⼦：<30>Oct 1020:30:10 fedora auditd [1780]: The audit daemon is exiting▶“<30>”是PRI部分，即Priority（优先级），取值范围0~191。
▶“Oct 10 20:30:10 fedora”是HEADER（报头部分）。
▶“auditd [1780]: The audit daemon is exiting”是MSG（信息）部分。
linux下syslog使用说明
linux下syslog使用说明2012-09-26 15:43:36分类：LINUXsyslog 系统日志应用1) 概述syslog是Linux系统默认的日志守护进程。
默认的syslog配置文件是/etc/syslog.conf文件。
程序，守护进程和内核提供了访问系统的日志信息。
因此，任何希望生成日志信息的程序都可以向 syslog 接口呼叫生成该信息。
几乎所有的网络设备都可以通过syslog协议，将日志信息以用户数据报协议(UDP)方式传送到远端服务器，远端接收日志服务器必须通过syslogd监听UDP 端口514，并根据 syslog.conf配置文件中的配置处理本机，接收访问系统的日志信息，把指定的事件写入特定文件中，供后台数据库管理和响应之用。
意味着可以让任何事件都登录到一台或多台服务器上，以备后台数据库用off-line(离线) 方法分析远端设备的事件。
通常，syslog 接受来自系统的各种功能的信息，每个信息都包括重要级。
/etc/syslog.conf 文件通知 syslogd 如何根据设备和信息重要级别来报告信息。
2) etc/syslog.conf/etc/syslog.conf 文件使用下面的格式：facility.level actionfacility.level为选择条件本身分为两个字段，之间用一个小数点（.）分隔。
action和facility.level之间使用TAB隔开。
前一字段是一项服务，后一字段是一个优先级。
选择条件其实是对消息类型的一种分类，这种分类便于人们把不同类型的消息发送到不同的地方。
在同一个syslog配置行上允许出现一个以上的选择条件，但必须用分号（;）把它们分隔开。
action字段所表示的活动具有许多灵活性，特别是，可以使用名称管道的作用是可以使 syslogd 生成后处理信息。
要素分析：facility 指定 syslog 功能，主要包括以下这些：kern 内核信息，首先通过 klogd 传递；user 用户进程；mail 邮件；daemon 后台进程；authpriv 授权信息；syslog 系统日志；lpr 打印信息；news 新闻组信息；uucp 由uucp生成的信息cron 计划和任务信息。
外发syslog日志
外发syslog日志
syslog是一种标准的日志协议，用于将系统日志消息发送到远程服务器。
它可以帮助我们实现日志的集中管理和分析，提高系统安全性和稳定性。
外发syslog日志的步骤如下：
1. 安装syslog客户端软件：我们需要在需要发送日志的系统上安装syslog客户端软件，比如rsyslog、syslog-ng等。
2. 配置syslog客户端：在配置文件中指定要发送到的syslog 服务器的IP地址和端口号，并设置日志级别和过滤规则。
3. 启动syslog客户端：启动syslog客户端，开始发送日志到指定的syslog服务器。
4. 配置syslog服务器：在syslog服务器上配置接收客户端发送的日志，并进行存储和分析。
5. 分析日志：使用日志分析工具，对收集到的日志进行分析和监控，发现问题并及时处理。
需要注意的是，外发syslog日志需要在网络中开放对应的端口，并且需要考虑日志的安全性和保密性。
在配置过程中，我们需要使用加密方式传输日志，并设置访问控制规则，以保护日志的机密性和完整性。
以上就是外发syslog日志的基本步骤，希望对大家有所帮助。
- 1 -。
freebsd-syslog配置日志服务器
freebsd-syslog配置日志服务器FreeBSD Syslog配置日志服务器日志服务器对于系统管理和故障排除来说至关重要。
通过配置FreeBSD服务器的Syslog服务，您可以集中存储和管理所有系统和应用程序的日志信息。
本文将引导您配置FreeBSD服务器作为日志服务器的步骤，并确保其良好的可读性和安全性。
1. 安装Syslog守护程序Syslog守护程序是一种能够接收、存储和转发系统日志信息的服务。
在FreeBSD上，我们可以使用syslog-ng或rsyslog等工具来实现这一功能。
在本例中，我们将使用rsyslog作为示例。
在终端中执行以下命令，安装并启动rsyslog服务：```$ pkg install rsyslog$ sysrc rsyslogd_enable="YES"$ service rsyslog start```2. 配置rsyslog接下来，我们需要配置rsyslog以充分满足我们的要求。
编辑rsyslog的配置文件`/usr/local/etc/rsyslog.conf`，并根据您的需求进行相应的更改。
a. 定义默认模板在配置文件的顶部，我们将定义默认的模板，以便日志消息以可读的格式呈现：```$templatePerHostLog,"/var/log/%HOSTNAME%/%$YEAR%/%$MONTH%/%$DA Y%.log"$template RemoteHostLog,"/var/log/remote/%FROMHOST-IP%/%$YEAR%/%$MONTH%/%$DAY%.log"$ActionFileDefaultTemplate PerHostLog$ActionFileDefaultTemplate RemoteHostLog```以上代码将日志消息按照主机名和日期存储在相应的目录中。
syslog-系统日志应用
syslog-系统日志应用syslog 系统日志应用1) 概述syslog是Linux系统默认的日志守护进程。
默认的syslog配置文件是/etc/syslog.conf文件。
程序，守护进程和内核提供了访问系统的日志信息。
因此，任何希望生成日志信息的程序都可以向 syslog 接口呼叫生成该信息。
几乎所有的网络设备都可以通过syslog协议，将日志信息以用户数据报协议(UDP)方式传送到远端服务器，远端接收日志服务器必须通过syslogd 监听UDP 端口514，并根据 syslog.conf配置文件中的配置处理本机，接收访问系统的日志信息，把指定的事件写入特定文件中，供后台数据库管理和响应之用。
意味着可以让任何事件都登录到一台或多台服务器上，以备后台数据库用off-line(离线) 方法分析远端设备的事件。
通常，syslog 接受来自系统的各种功能的信息，每个信息都包括重要级。
/etc/syslog.conf 文件通知syslogd 如何根据设备和信息重要级别来报告信息。
2) etc/syslog.conf/etc/syslog.conf 文件使用下面的格式：facility.level actionfacility.level为选择条件本身分为两个字段，之间用一个小数点（.）分隔。
action和facility.level之间使用TAB隔开。
前一字段是一项服务，后一字段是一个优先级。
选择条件其实是对消息类型的一种分类，这种分类便于人们把不同类型的消息发送到不同的地方。
在同一个syslog配置行上允许出现一个以上的选择条件，但必须用分号（;）把它们分隔开。
action字段所表示的活动具有许多灵活性，特别是，可以使用名称管道的作用是可以使 syslogd 生成后处理信息。
要素分析：facility 指定 syslog 功能，主要包括以下这些：kern 内核信息，首先通过 klogd 传递；user 用户进程；mail 邮件；daemon 后台进程；authpriv 授权信息；syslog 系统日志；lpr 打印信息；news 新闻组信息；uucp 由uucp生成的信息cron 计划和任务信息。
rsyslog的应用场景
rsyslog的应用场景rsyslog是一种功能强大的系统日志处理工具，可以帮助用户收集、存储和分析日志数据。
它在各种应用场景中发挥着重要作用，本文将重点介绍rsyslog的应用场景。
1. 服务器日志监控和分析在服务器运维中，日志监控和分析是非常重要的任务。
rsyslog可以实时收集服务器产生的各种日志，如系统日志、应用程序日志、安全日志等，并将其存储在集中的日志服务器上。
通过对这些日志进行分析，管理员可以及时发现服务器故障、安全漏洞和异常行为，并及时采取措施进行修复和防范。
2. 安全事件监控和应急响应rsyslog可以与安全信息和事件管理系统（SIEM）集成，实时收集网络设备、防火墙、入侵检测系统等的安全日志，并将其发送到SIEM系统进行分析和处理。
这样可以帮助安全团队及时发现和响应安全事件，提高安全防护能力。
3. 应用程序日志管理应用程序的日志记录对于故障排查、性能优化和业务分析都非常重要。
rsyslog可以帮助开发人员和运维人员收集和管理应用程序产生的日志。
通过配置rsyslog，可以将应用程序日志发送到指定的日志文件、数据库或日志管理平台，便于后续的分析和查询。
4. 日志审计和合规要求许多行业和组织都面临着日志审计和合规要求。
rsyslog可以帮助用户满足这些要求。
它可以收集和存储各种系统和应用程序的日志，并提供搜索、过滤和报告功能，方便进行日志审计和合规性检查。
5. 系统性能监控和故障排查rsyslog可以收集系统的性能日志，如CPU利用率、内存使用、网络流量等，帮助管理员监控系统的运行状态和性能指标。
当系统出现故障或性能问题时，rsyslog可以提供有关错误信息和警告，方便管理员进行故障排查和性能优化。
6. 日志数据分析和挖掘日志数据中蕴含着丰富的信息和价值。
rsyslog可以将大量的日志数据收集到中央存储，然后利用日志分析工具进行数据挖掘和分析。
通过分析日志数据，可以发现系统的异常行为、用户行为模式、业务趋势等，为企业决策和业务发展提供有力的支持。
syslog-ng日志系统
syslog-ng⽇志系统⼀、基础syslog-ng作为syslog的替代⼯具，可以完全替代syslog的服务，并且通过定义规则，实现更好的过滤功能。
系统⾃带版本(我的是红旗,不同系统⽤不同的⽅式查询)：引⽤# rpm -qa|grep syslog-ngsyslog-ng-1.6.7-1syslog官⽅⽹站：最新版本是2.0.5。
为⽅便使⽤，暂以系统⾃带的版本1.6.7说明，以后再提供更新的rpm包。
1、前提使⽤syslog-ng前，建议先详细了解syslog的概念。
例如，什么是facitily（设备），level（等级）。
可以参考这⾥：否则，后⾯的说明可能会有点不知所云的。
2、使⽤若不增加其他设定，可通过下⾯的简单命令即可替换原syslog服务：# service syslog stop# service syslog-ng start3、设计原则syslog-ng替代syslog是基于以下的设计原则的：引⽤a、通过正规表达式协助，除⽀持原facitily/level⽅式，还⽀持内容过滤等以建⽴更好的消息过滤机制；b、⽀持主机链，即使⽇志消息经过多重⽹络转发，仍可找到原发出主机的信息和整个消息链；c、⽀持强⼤的⾃定义配置，并且清晰、明了。
⼆、配置说明syslog-ng的主配置⽂件存放在：/etc/syslog-ng/syslog-ng.conf1、架构syslog-ng的配置基于下⾯的架构：引⽤LOG STATEMENTS『SOURCES － FILTERS －DESTINATIONS』消息路径『消息源－过滤器－⽬的站』也就是说，通过定义多个消息源，把匹配上若⼲个过滤器的消息导向到指定的⽬的地，从⽽组成⼀个消息路径。
2、消息源SOURCES定义格式为：引⽤source <sourcename> { sourcedriver params; sourcedriver params; ... };含义：引⽤<sourcename>：⼀个消息源的标识sourcedriver：消息源驱动器，可以⽀持若⼲参数，并使⽤分号“；”隔离多个消息源驱动器消息源驱动器有：引⽤file (filename) ：从指定的⽂件读取⽇志信息unix-dgram (filename) ：打开指定的SOCK_DGRAM模式的unix套接字，接收⽇志消息unix-stream (filename) ：打开指定的SOCK_STREAM模式的unix套接字，接收⽇志消息udp ( (ip),(port) ) ：在指定的UDP端⼝接收⽇志消息tcp ( (ip),(port) ) ：在指定的TCP端⼝接收⽇志消息sun-streams (filename) ：在solaris系统中，打开⼀个（多个）指定的STREAM设备，从其中读取⽇志消息internal() ： syslog-ng内部产⽣的消息pipe(filename),fifo(filename) ：从指定的管道或者FIFO设备，读取⽇志信息例如：引⽤source s_sys {file ("/proc/kmsg" log_prefix("kernel: "));unix-stream ("/dev/log");internal();# udp(ip(0.0.0.0) port(514)); #如果取消注释，则可以从udp的514端⼝获取消息};※linux使⽤/dev/log作为SOCK_STREAM unix的套接字，BSD使⽤/var/run/log；参数需要使⽤括号括住。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
syslog 系统日志应用1) 概述syslog是Linux系统默认的日志守护进程。
默认的syslog配置文件是/etc/syslog.conf文件。
程序，守护进程和内核提供了访问系统的日志信息。
因此，任何希望生成日志信息的程序都可以向 syslog 接口呼叫生成该信息。
几乎所有的网络设备都可以通过syslog协议，将日志信息以用户数据报协议(UDP)方式传送到远端服务器，远端接收日志服务器必须通过syslogd 监听UDP 端口514，并根据 syslog.conf配置文件中的配置处理本机，接收访问系统的日志信息，把指定的事件写入特定文件中，供后台数据库管理和响应之用。
意味着可以让任何事件都登录到一台或多台服务器上，以备后台数据库用off-line(离线) 方法分析远端设备的事件。
通常，syslog 接受来自系统的各种功能的信息，每个信息都包括重要级。
/etc/syslog.conf 文件通知 syslogd 如何根据设备和信息重要级别来报告信息。
2) etc/syslog.conf/etc/syslog.conf 文件使用下面的格式：facility.level actionfacility.level为选择条件本身分为两个字段，之间用一个小数点（.）分隔。
action和facility.level之间使用TAB隔开。
前一字段是一项服务，后一字段是一个优先级。
选择条件其实是对消息类型的一种分类，这种分类便于人们把不同类型的消息发送到不同的地方。
在同一个syslog配置行上允许出现一个以上的选择条件，但必须用分号（;）把它们分隔开。
action字段所表示的活动具有许多灵活性，特别是，可以使用名称管道的作用是可以使 syslogd 生成后处理信息。
要素分析：facility 指定 syslog 功能，主要包括以下这些：kern 内核信息，首先通过 klogd 传递；user 用户进程；mail 邮件；daemon 后台进程；authpriv 授权信息；syslog 系统日志；lpr 打印信息；news 新闻组信息；uucp 由uucp生成的信息cron 计划和任务信息。
mark syslog 内部功能用于生成时间戳local0----local7 与自定义程序使用，例如使用 local5 做为 ssh 功能* 通配符代表除了 mark 以外的所有功能level 指定syslog优先级：syslog 级别如下:（按严重程度由高到低的顺序列出了所有可能的优先级。
）emerg 或 panic 该系统不可用（最紧急消息）alert 需要立即被修改的条件（紧急消息）crit 阻止某些工具或子系统功能实现的错误条件（重要消息）err 阻止工具或某些子系统部分功能实现的错误条件（出错消息）warning 预警信息（警告消息）notice 具有重要性的普通条件（普通但重要的消息）info 提供信息的消息（通知性消息）debug 不包含函数条件或问题的其他信息（调试级-信息量最多）none 没有重要级，通常用于排错（不记录任何日志消息）* 所有级别，除了noneaction:1. /var/log/lastlog : 记录每个使用者最近签入系统的时间, 因此当使用者签入时, 就会显示其上次签入的时间, 您应该注意一下这个时间, 若不是您上次签入的时间, 表示您的帐号可能被人盗用了. 此档可用/usr/bin/lastlog 指令读取.2. /var/run/utmp : 记录每个使用者签入系统的时间, who, users, finger 等指令会查这个档案.3. /var/log/wtmp : 记录每个使用者签入及签出的时间, last 这个指令会查这个档案. 这个档案也记录shutdown 及reboot 的动作.4. /var/log/secure : 登录系统的信息5. /var/log/maillog : 记录sendmail 及pop 等相关讯息.6. /var/log/cron : 记录crontab 的相关讯息，定时器的信息7. /var/log/dmesg : /bin/dmesg 会将这个档案显示出来, 它是开机时的画面讯息.8. /var/log/xferlog : 记录那些位址来ftp 拿取那些档案.9. /var/log/messages : 系统大部份的讯息皆记录在此, 包括login, check password , failed login, ftp, su 等.Application 中定义level：0: LOG_EMERG,紧急情况1: LOG_ALERT,高优先级故障，例如数据库崩溃2: LOG_CRIT,严重错误，例如硬件故障3: LOG_ERR,错误4: LOG_WARNING,警告5: LOG_NOTICE,需要注意的特殊情况6: LOG_INFO,一般信息7: LOG_DEBUG,调试信息kernel中定义level（使用printk函数设定level）：0: KERN_EMERG, 系統無法使用1: KERN_ALERT, 必須立即執行2: KERN_CRIT, 緊急狀態3: KERN_ERR, 錯誤狀態4: KERN_WARNING, 警告狀態5: KERN_NOTICE, 正常狀態且十分重要6: KERN_INFO, 報告7: KERN_DEBUG, debug-level訊息例子：//其中*是通配符，代表任何设备；none表示不对任何级别的信息进行记录。
*.info;mail.none;news.none;authpriv.none;cron.none /var/log/messages //将authpriv的任何级别的信息记录到/var/log/secure文件中，这主要是一些和认、权限使用相关的信息。
authpriv.* /var/log/secure//将mail设备中的任何级别的信息记录到/var/log/maillog文件中，这主要是和电子邮件相关的信息。
mail.* -/var/log/maillog//将cron设备中的任何级别的信息记录到/var/log/cron文件中，这主要是和系统中定期执行的任务相关的信息。
cron.* /var/log/cron//将任何设备的emerg级别的信息发送给所有正在系统上的用户。
*.emerg *//将uucp和news设备的crit级别的信息记录到/var/log/spooler文件中。
uucp,news.crit /var/log/spooler//将和系统启动相关的信息记录到/var/log/boot.log文件中。
local7.* /var/log/boot.log“mail.*”将发送所有的消息，“mail.!info”把info优先级的消息排除在外。
mail.*;mail.!info /var/log/mail下面的规则指定Facility为mail，Severity为err以上级别的日志写入/var/log/mail.err文件，而err以下级别的日志则被忽略：mail.err /var/log/mail. errfacility和level可以使用通配符，也可以指定多个，用逗号隔开：auth,authpriv.* /var/log/auth.log Facility和level的组合可以有多个，用分号隔开，文件前面加一个减号表示日志不立即写入文件，而是在缓冲中积攒到一定的条件再写，这样可以提高性能，但是当机可能会丢失数据：*.*;auth,authpriv.none -/var/log/syslog可以把syslog消息通过UDP发送到syslog服务器的514端口：*.err @192.168.0.1发生错误时，在控制台打屏：*.err /dev/consolelinux日志管理：内核信息 -> klogd -> syslogd -> /var/log/messages等文件其他信息 -> syslogd -> /var/log/messages等文件syslog配置文件 -> /etc/syslog.conf3) 调用 syslogd 守护程序syslog 守护程序是由 /etc/rc.d/init.d/syslog 脚本在运行级2下被调用的，缺省不使用选项。
但有两个选项 -r 和 -h 很有用。
如果将要使用一个日志服务器，必须调用 syslogd -r。
缺省情况下syslog 不接受来自远程系统的信息。
当指定 -r 选项，syslogd 将会监听从 514 端口上进来的 UDP 包。
如果还希望日志服务器能传送日志信息，可以使用 -h 标志。
缺省时，syslogd 将忽略使其从一个远程系统传送日志信息到另一个系统的/etc/syslog.conf 输入项。
4) klogd 守护进程klogd 守护进程获得并记录 Linux 内核信息。
通常，syslogd 会记录 klogd 传来的所有信息，然而，如果调用带有 -f 变量的 klogd 时，klogd 就在中记录所有信息，而不是传给syslogd。
当指定另外一个文件进行日志记录时，klogd 就向该文件中写入所有级别或优先权。
Klogd 中没有和/etc/syslog.conf 类似的配置文件。
使用 klogd 而避免使用 syslogd 的好处在于可以查找大量错误。
如果有人入侵了内核，使用 klogd 可以修改错误。
5) 配置一个中央日志服务器1. 编辑/etc/sysconfig/syslog文件。
在“SYSLOGD_OPTIONS”行上加“-r”选项以允许接受外来日志消息。
如果因为关于其他机器的DNS记录项不够齐全或其他原因不想让中央日志服务器解析其他机器的FQDN，还可以加上“-x”选项。
此外，你或许还想把默认的时间戳标记消息（--MARK--）出现频率改成比较有实际意义的数值，比如240，表示每隔240分钟（每天6次）在日志文件里增加一行时间戳消息。
日志文件里的“--MARK--”消息可以让你知道中央日志服务器上的 syslog守护进程没有停工偷懒。
按照上面这些解释写出来的配置行应该是如下所示的样子： SYSLOGD_OPTIONS="-r-x-m240"2. 重新启动syslog守护进程。
修改只有在syslog守护进程重新启动后才会生效。
如果你只想重新启动syslog守护进程而不是整个系统，执行以下两条命令之一：/etc/rc.d/init.d/syslog stop; /etc/rc.d/init.d/syslog start/etc/rc.d/init.d/syslog restart3. 如果这台机器上运行着iptables防火墙或TCPWrappers，请确保它们允许514号端口上的连接通过。