Linux学习-分析登录档

CentOS 预设提供的 logwatch

不过，要了解系统的状态，还是得要分析整个登录档才行~ 事实上，目前已经有相当多的登录档分析工具，例如 CentOS 7.x 上面预设的 logwatch 这个套件所提供的分析工具，他会每天分析一次登录文件，并且将数据以 email 的格式寄送给 root 呢!

安装完毕以后，logwatch 就已经写入 cron 的运作当中了!详细的执行方式你可以参考上表中 0logwatch 文件内容来处理，未来则每天会送出一封 email 给 root 查阅就是了。因为我们刚刚安装，那可以来分析一下吗?很简单啦!你就直接执行 0logwatch 即可啊!

[root@study ~]# mail

Heirloom Mail version 12.5 7/5/10.  Type ? for help.

"/var/spool/mail/root": 5 messages 2 new 4 unread

>N  4 root                  Thu Jul 30 19:35  29/763   "testing at job"

 N  5 logwatch@study.cento  Thu Aug 20 17:55  97/3045  "Logwatch for study.centos.vbird (Linux)"

& 5

Message  5:

From root@study.centos.vbird  Thu Aug 20 17:55:23 2015

Return-Path: <root@study.centos.vbird>

X-Original-To: root

Delivered-To: root@study.centos.vbird

To: root@study.centos.vbird

From: logwatch@study.centos.vbird

Subject: Logwatch for study.centos.vbird (Linux)

Auto-Submitted: auto-generated

Precedence: bulk

Content-Type: text/plain; charset="iso-8859-1"

Date: Thu, 20 Aug 2015 17:55:23 +0800 (CST)

Status: R

# logwatch 会先说明分析的时间与 logwatch 版本等等信息

################### Logwatch 7.4.0 (03/01/11) ####################

        Processing Initiated: Thu Aug 20 17:55:23 2015

        Date Range Processed: yesterday

                              ( 2015-Aug-19 )

                              Period is day.

        Detail Level of Output: 0

        Type of Output/Format: mail / text

        Logfiles for Host: study.centos.vbird

 ##################################################################

# 开始一项一项的数据进行分析!分析得很有道理啊!

 --------------------- pam_unix Begin ------------------------

 su-l:

    Sessions Opened:

       dmtsai -> root: 2 Time(s)

 ---------------------- pam_unix End -------------------------

 --------------------- Postfix Begin ------------------------

      894   Bytes accepted                                 894

      894   Bytes delivered                                894

 ========   ==================================================

        2   Accepted                                   100.00%

 --------   --------------------------------------------------

        2   Total                                      100.00%

 ========   ==================================================

        2   Removed from queue

        2   Delivered

 ---------------------- Postfix End -------------------------

 --------------------- SSHD Begin ------------------------

 Users logging in through sshd:

    dmtsai:

       192.168.1.200: 2 times

 Received disconnect:

    11: disconnected by user : 1 Time(s)

 ---------------------- SSHD End -------------------------

 --------------------- Sudo (secure-log) Begin ------------------------

 dmtsai => root

 --------------

 /bin/su                        -   2 Time(s).

 ---------------------- Sudo (secure-log) End -------------------------

# 当然也得说明一下目前系统的磁盘使用状态喔!

 --------------------- Disk Space Begin ------------------------

 Filesystem                 Size  Used Avail Use% Mounted on

 /dev/mapper/centos-root     10G  3.7G  6.3G  37% /

 devtmpfs                   1.4G     0  1.4G   0% /dev

 /dev/vda2                 1014M  141M  874M  14% /boot

 /dev/vda4                 1014M   33M  982M   4% /srv/myproject

 /dev/mapper/centos-home    5.0G  642M  4.4G  13% /home

 /dev/mapper/raidvg-raidlv  1.5G   33M  1.5G   3% /srv/raidlvm

 ---------------------- Disk Space End -------------------------

鸟哥自己写的登录档分析工具:

虽然已经有了类似 logwatch 的工具，但是鸟哥自己想要分析的数据毕竟与对方不同~所以啰，鸟哥就自己写了一支小程序 (shell script 的语法) 用来分析自己的登录文件，这支程序分析的登录文件主要由 journalctl 所产生，而且只会抓前一天的登录档来分析而已~ 若比对 rsyslog.service 所产生的登录档，则主要用到底下几个对应的档名

/var/log/secure
/var/log/messages
/var/log/maillog

当然啦，还不只这些啦，包括各个主要常见的服务，如 pop3, mail, ftp, su 等会使用到 pam 的服务，都可以透过鸟哥写的这个小程序来分析与处理呢~整个数据还会输出一些系统信息。如果你想要使用这个程序的话，欢迎下载:

使用的登录档真的是来自于 journalctl ，所以 CentOS 6 以前的版本千万不要使用喔!现在假设我将下载的文件放在跟目录，所以:

[root@study ~]# tar -zxvf /logfile_centos7.tar.gz -C /

[root@study ~]# cat /etc/cron.d/vbirdlogfile

10 0 * * * root /bin/bash /root/bin/logfile/logfile.sh &> /dev/null

[root@study ~]# sh /root/bin/logfile/logfile.sh

# 开始尝试分析系统的登录文件，依据你的登录档大小，分析的时间不固定!

[root@study ~]# mail

# 自己找到刚刚输出的结果，该结果的输出有点像底下这样:

Heirloom Mail version 12.5 7/5/10.  Type ? for help.

"/var/spool/mail/root": 9 messages 4 new 7 unread

 N  8 root                  Thu Aug 20 19:26  60/2653  "study.centos.vbird logfile analysis results"

>N  9 root                  Thu Aug 20 19:37  59/2612  "study.centos.vbird logfile analysis results"

& 9

# 先看看你的硬件与操作系统的相关情况，尤其是 partition 的使用量更需要随时注意!

=============== system summary =================================

Linux kernel  :  Linux version 3.10.0-229.el7.x86_64 (builder@kbuilder.dev.centos.org)

CPU informatin:  2 Intel(R) Xeon(R) CPU E5-2650 v3 @ 2.30GHz

CPU speed     :  2299.996 MHz

hostname is   :  study.centos.vbird

Network IP    :  192.168.1.100

Check time    :  2015/August/20 19:37:25 ( Thursday )

Summary date  :  Aug 20

Up times      :  3 days, 59 min,

Filesystem summary:

       Filesystem                Type      Size  Used Avail Use% Mounted on

       /dev/mapper/centos-root   xfs        10G  3.7G  6.3G  37% /

       devtmpfs                  devtmpfs  1.4G     0  1.4G   0% /dev

       tmpfs                     tmpfs     1.4G   48K  1.4G   1% /dev/shm

       tmpfs                     tmpfs     1.4G  8.7M  1.4G   1% /run

       tmpfs                     tmpfs     1.4G     0  1.4G   0% /sys/fs/cgroup

       /dev/vda2                 xfs      1014M  141M  874M  14% /boot

       /dev/vda4                 xfs      1014M   33M  982M   4% /srv/myproject

       /dev/mapper/centos-home   xfs       5.0G  642M  4.4G  13% /home

       /dev/mapper/raidvg-raidlv xfs       1.5G   33M  1.5G   3% /srv/raidlvm

       /dev/sr0                  iso9660   7.1G  7.1G     0 100% /mnt

# 这个程序会将针对 internet 与内部监听的端口口分开来显示!

================= Ports 的相關分析資訊 =======================

主機啟用的 port 與相關的 process owner：

對外部介面開放的 ports (PID|owner|command)

       tcp 21|(root)|/usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf

       tcp 22|(root)|/usr/sbin/sshd -D

       tcp 25|(root)|/usr/libexec/postfix/master -w

       tcp 222|(root)|/usr/sbin/sshd -f /etc/ssh/sshd2_config -D

       tcp 514|(root)|/usr/sbin/rsyslogd -n

       tcp 555|(root)|/usr/sbin/vsftpd /etc/vsftpd/vsftpd2.conf

# 以下针对有启动的服务个别进行分析!

================= SSH 的登录文件信息汇整 =======================

今日没有使用 SSH 的纪录

================= Postfix 的登录文件信息汇整 ===================

使用者信箱受信次数: