Linux 日志查看和分析

Linux 日志是系统运行状态的重要记录，包含了系统启动、服务运行、用户操作、安全事件等关键信息，对于故障排查、安全审计和系统维护至关重要。

故障排查：定位系统崩溃、服务异常的根本原因（如服务启动失败、硬件故障）。

安全审计：记录用户登录、权限变更、可疑操作，追踪潜在安全威胁。

性能分析：监控资源使用情况（如 CPU、内存、磁盘 I/O），优化系统配置。

操作回溯：记录管理员操作历史，确保操作可追溯。

Linux 日志的主要类型、存储位置及作用

系统核心日志/var/log/messages：记录系统内核、服务启动 / 运行的通用消息，包含警告和错误信息。

/var/log/dmesg：存储系统启动时的内核日志（如硬件检测、驱动加载信息），可用 dmesg 命令查看。

/var/log/boot.log：记录系统启动过程中 initramfs 和 systemd 的引导日志。

/var/log/kern.log：单独记录内核相关的错误和警告（常见于 Debian/Ubuntu 系统）。

系统服务日志/var/log/ssh/sshd.log：SSH 服务的登录记录、认证失败信息（安全审计重点）。

/var/log/apache2/（或/var/log/httpd/）：Web 服务器（Apache/Nginx）的访问日志和错误日志。

/var/log/mysql/error.log：MySQL 数据库的错误和运行日志。

/var/log/syslog：通用系统服务日志（如 cron 任务、邮件服务），常见于 Debian/Ubuntu。

用户登录日志/var/log/wtmp：记录所有用户的登录、注销历史，可用 last 命令查看。

/var/log/btmp：记录登录失败的尝试，可用 lastb 命令查看。

/var/log/utmp：记录当前登录的用户，可用 who/w 命令查看。

安全与认证日志/var/log/audit/audit.log：Linux 审计系统（auditd）的日志，记录权限变更、文件访问等安全事件。

/var/log/auth.log（Debian/Ubuntu）或 /var/log/secure（CentOS/RHEL）：认证相关日志（如 sudo 操作、密码错误）。

系统资源与性能日志/var/log/sysstat/：存储 sysstat 工具收集的系统性能数据（如 CPU、内存、磁盘使用情况）。

/var/log/loadavg：记录系统负载平均值（1 分钟、5 分钟、15 分钟）。

Linux 日志查看、分析命令

通用查看：cat /var/log/messages：直接查看日志文件（适合小文件）。

tail -f /var/log/syslog：实时追踪日志更新。

grep “error” /var/log/messages：筛选包含关键词的日志。

systemd-journald 专用：journalctl：查看所有日志。

journalctl -u sshd：仅查看 SSH 服务日志。

journalctl --since “2025-06-10” --until “2025-06-12”：按时间范围查询。

通过 Bash 命令行可手动分析 Linux 日志，常用命令包括：

cd /var/log/：切换工作目录至/var/log/。

head -n 20 ex.log：显示文件前 20 行内容。

tail -n 20 ex.log：显示文件最后 20 行内容。

grep “changed” ex.log（最常用）：在 ex.log 文件中搜索包含 “changed” 的行并打印。

Linux 日志审计与管理工具

EventLog Analyzer 为 Linux 基础设施提供全面的日志管理与分析能力，支持集中管理多台 Linux 系统的日志、实时检测安全威胁、满足合规要求并简化安全运维流程。

统一日志管理：通过集中式日志管理解决方案聚合、分析和可视化所有关键 Linux 日志。

主动威胁检测：通过实时监控、高级关联规则和机器学习驱动的异常检测，更快发现并响应安全威胁，在暴力攻击、权限提升和未授权访问等风险升级前识别隐患。关联 Linux 日志源（系统日志、auth.log、应用日志等）的事件，可视化展示可疑活动时间线，并深入原始日志进行详细分析。

提升运维效率：监控 Linux 服务器的资源利用率（CPU、内存、磁盘 I/O），监控服务状态，借助实时洞察更快排查问题，从而提高系统可用性并降低 Linux 基础设施的运维成本。

集中可视与控制：通过单一控制台统一查看整个 Linux 环境，收集、分析和关联服务器、工作站、应用和网络设备的日志。

自动化事件响应：自动化事件响应工作流，检测到威胁时立即执行操作（如禁用账户、阻断 IP 或触发其他动作）以降低风险。

简化合规审计：轻松满足合规要求，提供 PCI DSS、HIPAA、GDPR、SOX 等法规的预制报表和仪表盘，简化合规审计流程。

简化运维：通过自动化日志收集、解析和分析简化日志管理，为 IT 团队提供可操作的洞察和直观仪表盘，使其专注于更具战略性的任务。