设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [24442] 2015-11-07_RHCE系列（五）：如何在RHEL7中管理 ...
返回列表 发新帖
查看: 1|回复: 0

[24442] 2015-11-07_RHCE系列（五）：如何在RHEL7中管理系统日志（配置、轮换以及导入到数据库）

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2015-11-07_RHCE系列（五）：如何在RHEL7中管理系统日志（配置、轮换以及导入到数据库） R H C E   系 列 （ 五 ） ： 如 何 在   R H E L   7   中 管 理 系 统 日 志 （ 配 置 、 轮 换 以 及 导 入 到 数 据 库 ） 原 创   i c t l y h   L i n u x 中 国   2 0 1 5 - 1 1 - 0 7 为 了 确 保 你 的   R H E L   7   系 统 安 全 ， 你 需 要 通 过 查 看 日 志 文 件 来 监 控 系 统 中 发 生 的 所 有 活 动 。 这 样 ， 你 就 可 以 检 测 到 任 何 不 正 常 或 有 潜 在 破 坏 的 活 动 并 进 行 系 统 故 障 排 除 或 者 其 它 恰 当 的 操 作 。 R H C E   考 试   -   第 五 部 分 ： 使 用   R s y s l o g   和   L o g r o t a t e   管 理 系 统 日 志 在   R H E L   7   中 ， r s y s l o g d   守 护 进 程 负 责 系 统 日 志 ， 它 从   / e t c / r s y s l o g . c o n f （ 该 文 件 指 定 所 有 系 统 日 志 的 默 认 路 径 ） 和   / e t c / r s y s l o g . d   中 的 所 有 文 件 （ 如 果 有 的 话 ） 读 取 配 置 信 息 。 R s y s l o g d   配 置 快 速 浏 览 一 下   r s y s l o g . c o n f   会 是 一 个 好 的 开 端 。 该 文 件 分 为   3   个 主 要 部 分 ： 模 块 （ r s y s l o n g   按 照 模 块 化 设 计 ） ， 全 局 指 令 （ 用 于 设 置   r s y s l o g d 守 护 进 程 的 全 局 属 性 ） ， 以 及 规 则 。 正 如 你 可 能 猜 想 的 ， 最 后 一 个 部 分 指 示 记 录 或 显 示 什 么 以 及 在 哪 里 保 存 （ 也 称 为 s e l e c t o r 选 择 子 ） ， 这 也 是 这 篇 文 章 关 注 的 重 点 。 r s y s l o g . c o n f   中 典 型 的 一 行 如 下 所 示 ： R s y s l o g d   配 置 在 上 面 的 图 片 中 ， 我 们 可 以 看 到 一 个 选 择 子 包 括 了 一 个 或 多 个 用 分 号 分 隔 的 F a c i l i t y : P r i o r i t y “ 设 备 : 优 先 级 ” 对 ， 其 中 设 备 描 述 了 消 息 类 型 （ 参 考 R F C   3 1 6 4 4 . 1 . 1   章 节 ， 查 看   r s y s l o g   可 用 的 完 整 设 备 列 表 ） ， 优 先 级 指 示 它 的 严 重 性 ， 这 可 能 是 以 下 几 种 之 一 ： d e b u g i n f o n o t i c e w a r n i n g
e r r c r i t a l e r t e m e r g 尽 管   n o n e   并 不 是 一 个 优 先 级 ， 不 过 它 意 味 着 指 定 设 备 没 有 任 何 优 先 级 。 注 意 注 意 ： 给 定 一 个 优 先 级 表 示 该 优 先 级 以 及 之 上 的 消 息 都 应 该 记 录 到 日 志 中 。 因 此 ， 上 面 例 子 中 的 行 指 示   r s y s l o g d   守 护 进 程 记 录 所 有 优 先 级 为 i n f o   以 及 以 上 （ 不 管 是 什 么 设 备 ） 的 除 了 属 于   m a i l 、 a u t h p r i v 、 以 及   c r o n   服 务 （ 不 考 虑 来 自 这 些 设 备 的 消 息 ） 的 消 息 到   / v a r / l o g / m e s s a g e s 。 你 也 可 以 使 用 逗 号 将 多 个 设 备 分 为 一 组 ， 对 同 组 中 的 设 备 使 用 相 同 的 优 先 级 。 例 如 下 面 这 行 ： 也 可 以 这 样 写 ： 换 句 话 说 ， m a i l 、 a u t h p r i v   以 及   c r o n   被 分 为 一 组 ， 并 使 用 关 键 字   n o n e 。 创 建 自 定 义 日 志 文 件 要 把 所 有 的 守 护 进 程 消 息 记 录 到   / v a r / l o g / t e c m i n t . l o g ， 我 们 需 要 在   r s y s l o g . c o n f   或 者   / e t c / r s y s l o g . d   目 录 中 的 单 独 文 件 （ 这 样 易 于 管 理 ） 添 加 下 面 一 行 ： 然 后 重 启 守 护 进 程 （ 注 意 服 务 名 称 不 以   d   结 尾 ） ： 在 随 便 重 启 两 个 守 护 进 程 之 前 和 之 后 查 看 下 自 定 义 日 志 的 内 容 ： 1 .   * . i n f o ; m a i l . n o n e ; a u t h p r i v . n o n e ; c r o n . n o n e                                 / v a r / l o g / m e s s a g e s 1 .   * . i n f o ; m a i l , a u t h p r i v , c r o n . n o n e                                 / v a r / l o g / m e s s a g e s 1 .   d a e m o n . *         / v a r / l o g / t e c m i n t . l o g 1 .   #   s y s t e m c t l   r e s t a r t   r s y s l o g
创 建 自 定 义 日 志 文 件 作 为 一 个 自 学 练 习 ， 我 建 议 你 重 点 关 注 设 备 和 优 先 级 ， 添 加 额 外 的 消 息 到 已 有 的 日 志 文 件 或 者 像 上 面 那 样 创 建 一 个 新 的 日 志 文 件 。 使 用   L o g r o t a t e   轮 换 日 志 为 了 防 止 日 志 文 件 无 限 制 增 长 ， l o g r o t a t e   工 具 用 于 轮 换 、 压 缩 、 移 除 或 者 通 过 电 子 邮 件 发 送 日 志 ， 从 而 减 轻 管 理 会 产 生 大 量 日 志 文 件 系 统 的 困 难 。 （ 译 者 注 ： 日 志 轮 换 （ r o t a t e ） 是 系 统 管 理 中 归 档 每 天 产 生 的 日 志 文 件 的 自 动 化 过 程 ） L o g r o t a t e   作 为 一 个   c r o n   任 务 （ / e t c / c r o n . d a i l y / l o g r o t a t e ） 每 天 运 行 ， 并 从   / e t c / l o g r o t a t e . c o n f   和   / e t c / l o g r o t a t e . d   中 的 文 件 （ 如 果 有 的 话 ） 读 取 配 置 信 息 。 对 于   r s y s l o g ， 即 使 你 可 以 在 主 文 件 中 为 指 定 服 务 包 含 设 置 ， 为 每 个 服 务 创 建 单 独 的 配 置 文 件 能 帮 助 你 更 好 地 组 织 设 置 。 让 我 们 来 看 一 个 典 型 的   l o g r o t a t e . c o n f ： L o g r o t a t e   配 置 在 上 面 的 例 子 中 ， l o g r o t a t e   会 为   / v a r / l o g / w t m p   进 行 以 下 操 作 ： 尝 试 每 个 月 轮 换 一 次 ， 但 至 少 文 件 要 大 于   1 M B ， 然 后 用   0 6 6 4   权 限 、 用 户 r o o t 、 组   u t m p   创 建 一 个 新 的 日 志 文 件 。 下 一 步 只 保 存 一 个 归 档 日 志 ， 正 如 轮 换 指 令 指 定 的 ：
每 月   L o g r o t a t e   日 志 让 我 们 再 来 看 看   / e t c / l o g r o t a t e . d / h t t p d   中 的 另 一 个 例 子 ： 轮 换   A p a c h e   日 志 文 件 你 可 以 在   l o g r o t a t e   的   m a n   手 册 （ m a n   l o g r o t a t e   和   m a n   l o g r o t a t e . c o n f ） 中 阅 读 更 多 有 关 它 的 设 置 。 为 了 方 便 你 的 阅 读 ， 本 文 还 提 供 了 两 篇 文 章 的   P D F   格 式 。 作 为 一 个 系 统 工 程 师 ， 很 可 能 由 你 决 定 多 久 按 照 什 么 格 式 保 存 一 次 日 志 ， 这 取 决 于 你 是 否 有 一 个 单 独 的 分 区 / 逻 辑 卷 给 。 否 则 ， 你 真 的 要 考 虑 删 除 旧 日 志 以 节 省 存 储 空 间 。 另 一 方 面 ， 根 据 你 公 司 和 客 户 内 部 的 政 策 ， 为 了 以 后 的 安 全 审 核 ， 你 可 能 必 须 要 保 留 多 个 日 志 。 保 存 日 志 到 数 据 库 当 然 检 查 日 志 可 能 是 一 个 很 繁 琐 的 工 作 （ 即 使 有 类 似   g r e p   工 具 和 正 则 表 达 式 的 帮 助 ） 。 因 为 这 个 原 因 ， r s y s l o g   允 许 我 们 把 它 们 导 出 到 数 据 库 （ O T B   支 持 的 关 系 数 据 库 管 理 系 统 包 括   M y S Q L 、 M a r i a D B 、 P o s t g r e S Q L   和   O r a c l e   等 ） 。 指 南 的 这 部 分 假 设 你 已 经 在 要 管 理 日 志 的   R H E L   7   上 安 装 了   M a r i a D B   服 务 器 和 客 户 端 ： 然 后 使 用 工 具 为   r o o t   用 户 设 置 密 码 以 及 其 它 安 全 考 量 ： / v a r 1 .   #   y u m   u p d a t e   & &   y u m   i n s t a l l   m a r i a d b   m a r i a d b - s e r v e r   m a r i a d b - c l i e n t   r s y s l o g - m y s q l 2 .   #   s y s t e m c t l   e n a b l e   m a r i a d b   & &   s y s t e m c t l   s t a r t   m a r i a d b m y s q l _ s e c u r e _ i n s t a l l a t i o n
保 证   M y S Q L   数 据 库 安 全 注 意 ： 如 果 你 不 想 用   M a r i a D B   r o o t   用 户 插 入 日 志 消 息 到 数 据 库 ， 你 也 可 以 配 置 用 另 一 个 用 户 账 户 。 如 何 实 现 的 介 绍 已 经 超 出 了 本 文 的 范 围 ， 但 在   M a r i a D B   知 识   中 有 详 细 解 析 。 为 了 简 单 在 这 篇 指 南 中 我 们 会 使 用   r o o t   账 户 。 下 一 步 ， 从   G i t H u b   下 载   c r e a t e D B . s q l   脚 本 并 导 入 到 你 的 数 据 库 服 务 器 ： 保 存 服 务 器 日 志 到 数 据 库 最 后 ， 添 加 下 面 的 行 到   / e t c / r s y s l o g . c o n f ： 1 .   #   m y s q l   - u   r o o t   - p   <   c r e a t e D B . s q l 1 .   $ M o d L o a d   o m m y s q l 2 .   $ A c t i o n O m m y s q l S e r v e r P o r t   3 3 0 6 3 .   * . *   : o m m y s q l : l o c a l h o s t , S y s l o g , r o o t , Y o u r P a s s w o r d H e r e
重 启   r s y s l o g   和 数 据 库 服 务 器 ： 使 用   S Q L   语 法 查 询 日 志 现 在 执 行 一 些 会 改 变 日 志 的 操 作 （ 例 如 停 止 和 启 动 服 务 ） ， 然 后 登 录 到 你 的 数 据 库 服 务 器 并 使 用 标 准 的   S Q L   命 令 显 示 和 查 询 日 志 ： 在 数 据 库 中 查 询 日 志 总 结 在 这 篇 文 章 中 我 们 介 绍 了 如 何 设 置 系 统 日 志 ， 如 果 轮 换 日 志 以 及 为 了 简 化 查 询 如 何 重 定 向 消 息 到 数 据 库 。 我 们 希 望 这 些 技 巧 能 对 你 准 备 R H C E   考 试   和 日 常 工 作 有 所 帮 助 。 正 如 往 常 ， 非 常 欢 迎 你 的 反 馈 。 用 下 面 的 表 单 和 我 们 联 系 吧 。 v i a :   h t t p : / / w w w . t e c m i n t . c o m / m a n a g e - l i n u x - s y s t e m - l o g s - u s i n g - r s y s l o g d - a n d - l o g r o t a t e / 作 者 ： G a b r i e l   C á n e p a   译 者 ： i c t l y h   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 1 .   #   s y s t e m c t l   r e s t a r t   r s y s l o g   2 .   #   s y s t e m c t l   r e s t a r t   m a r i a d b 1 .   U S E   S y s l o g ; 2 .   S E L E C T   R e c e i v e d A t ,   M e s s a g e   F R O M   S y s t e m E v e n t s ;
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:43 , Processed in 0.456086 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表