来源：Isblog.cn
5 X) w1 j% ^0 H: R8 m3 K) }1.日志简介
6 H; k* {- A" e: V日志对于
安全来说，非常重要，他记录了
系统每天发生的各种各样的事情，你可以通过他来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。日志主要的
功能有：审计和监测。他还可以实时的监测系统状态，监测和追踪侵入者等等。
* f2 a( j! B+ i% g! z- @* i
. B# q. j7 ^1 [; E2 s- _9 f在
Linux系统中，有三个主要的日志子系统：
" b6 b+ H( q1 C* ^$ {) w2 R
" X; s8 V% U( n3 \9 y
连接
时间日志--由多个
程序执行，把纪录写入到/var/log/wtmp和/var/run/utmp，login等程序更新wtmp和utmp文件，使系统
管理员能够跟踪谁在何时登录到系统。进程统计--由系统内核执行。当一个进程终止时，为每个进程往进程统计文件（pacct或acct）中写一个纪录。进程统计的目的是为系统中的基本服务提供命令使用统计。
6 t" o& i0 }; s, m% G+ J t2 n0 x z
错误日志--由syslogd（8）执行。各种系统守护进程、用户程序和内核通过syslog（3）向文件/var/log/messages报告值得注意的事件。另外有许多UNIX程序创建日志。像HTTP和
FTP这样提供
网络服务的
服务器也保持详细的日志。常用的日志文件如下：
% ^3 N0 c4 z# z, a% L* a
}8 K- w1 c0 t7 C3 ^* b
+ ~" r( {9 R. D) m1 H/ \" G% U* c3 D3 \0 Q
0 e0 ?+ n/ A* g' ]1 y4 }5 E" [
( E' z1 U+ m2 ~9 I
access-log
/ ^8 h4 I( O/ e+ _8 ^( }) u纪录HTTP/web的传输
5 ], _- @5 k* t6 X1 D9 D6 p) K: Z) D- I
acct/pacct
4 C+ h' l, v( c3 X- z {) P纪录用户命令
& {$ T$ a/ h9 f$ z3 C; f5 z( `+ B4 u* e9 l+ d4 ?# D/ @, _5 G
aculog
2 p- l) d4 }7 |7 G% n# Z3 `纪录MODEM的活动
A$ A; [3 g4 x
: }2 G) [4 T) ^" I8 U) xbtmp
8 u5 P* H2 X" [
纪录失败的纪录
0 ^# }5 ?. F6 H' T) q/ W
! j; a6 I4 R- Y6 X+ l) ^
lastlog
v7 I4 ~. }( o) k* ?( R
纪录最近几次成功登录的事件和最后一次不成功的登录
1 _! f: o1 T' }! G/ A
0 h2 w O% o+ n9 A0 Y) r) g; N2 Dmessages
5 H( g& Z3 G5 f% W6 B从syslog中记录
信息（有的链接到syslog文件）
) T7 Y ^' `: K% A( c# q I- U; ?7 J
sudolog
# z& A( D! }% r纪录使用sudo发出的命令
+ c# G C4 u( d6 g' A, @4 @; w& l) {2 N/ K- c
sulog
: M4 F! l0 j! j' Z- M纪录使用su命令的使用
8 m' \# o' x9 g$ ~' P; E4 |6 K9 k# O* y7 ] W6 v7 o
syslog
& P8 M- a, t! u5 ^6 A从syslog中记录信息（通常链接到messages文件）
' X. q- g) c9 j9 N% y7 `" x* E* E# b+ `: Z: Q% x+ d7 @! a: x
utmp
9 U* G( L2 m1 R" c! H: A0 w纪录当前登录的每个用户
. ^' @1 i. `8 Q# k3 {1 r2 q
& K1 C: z/ ?- C) ?' w& ] P
wtmp
1 m/ t1 q, V& E' I一个用户每次登录进入和退出时间的永久纪录
( U* \+ W$ H. d% l9 m- `9 j ~$ z5 H$ c
xferlog
5 ^/ i, \1 V, b& b. ]; R. ]1 `纪录FTP会话
( Y; \, q2 s8 b- M* s$ m2 f8 w[color=#FFFFFF']
: ?: I" e- V4 M9 L, E
7 V, C9 U2 y4 F* S2 B( |' _ X) N
, t) R% @6 z: k+ Qutmp、wtmp和lastlog日志文件是多数重用UNIX日志子系统的关键--保持用户登录进入和退出的纪录。有关当前登录用户的信息记录在文件utmp中；登录进入和退出纪录在文件wtmp中；最后一次登录文件可以用lastlog命令察看。
数据交换、关机和重起也记录在wtmp文件中。所有的纪录都包含时间戳。这些文件（lastlog通常不大）在具有大量用户的系统中增长十分迅速。例如wtmp文件可以无限增长，除非定期截取。许多系统以一天或者一周为单位把wtmp配置成循环使用。它通常由cron运行的脚本来修改。这些脚本重新命名并循环使用wtmp文件。通常，wtmp在第一天结束后命名为wtmp.1；第二天后wtmp.1变为wtmp.2等等，直到wtmp.7。
- |" X% T$ E. _7 y& l* W h- |4 u% L
每次有一个用户登录时，login程序在文件lastlog中察看用户的UID。如果找到了，则把用户上次登录、退出时间和主机名写到
标准输出中，然后login程序在lastlog中纪录新的登录时间。在新的lastlog纪录写入后，utmp文件打开并插入用户的utmp纪录。该纪录一直用到用户登录退出时删除。utmp文件被各种命令文件使用，包括who、w、users和finger。
A+ k$ a) F; R1 K
6 ~1 b% x) e2 v E# e下一步，login程序打开文件wtmp附加用户的utmp纪录。当用户登录退出时，具有更新时间戳的同一utmp纪录附加到文件中。wtmp文件被程序last和ac使用。
0 S: ~' C! p& n1 I) v) B, a
6 B& S8 N: a. Q* a" F2.具体命令
% P9 ~& \9 y% |4 h
1 g( I% e/ A. q( @: T
wtmp和utmp文件都是二进制文件，他们不能被诸如tail命令剪贴或合并（使用cat命令）。用户需要使用who、w、users、last和ac来使用这两个文件包含的信息。
$ H& t/ N# j1 ^7 n2 P! [% P \who：who命令查询utmp文件并报告当前登录的每个用户。Who的缺省输出包括用户名、终端
类型、登录日期及远程主机。例如：who（回车）显示
3 d; K' j9 P- m% ?. v! r* J) H h2 H, J2 }1 `( Z4 Z" S
7 v% Y/ c! O) K
( S3 C2 r; K* N; N3 ^( o* u
3 |' q/ l- I+ H3 `$ b+ b& s
2 T8 j3 Y* h$ q& o$ H
chyang
# o5 H, Y6 X( B/ J7 e
pts/oAug
3 M, e, y' f8 o/ s. W: W1815:06
. ^2 g t, T Z
. s, ^8 e- S: ~7 I
ynguo
1 n) n7 v7 l5 E" N8 H
pts/2Aug
' U* D' A" j- x7 \1815:32
; Q# \! u8 i* x4 F/ |. X Q% v% N& X
4 q: A5 U/ E% b* \0 A( Uynguo
g8 C/ p& t c9 A4 D5 C
pts/3Aug
" t0 Z) K. x# X, [, A& Z
1813:55
" |& m; n' t' P- a O* `+ w
7 }% o8 l3 w/ f' Alewis
7 J5 T# L, X# z6 L8 ]0 @- W4 C
pts/4Aug
, M1 S' q2 }, E" K& a; F Q! P
1813:35
`! }+ N& K( d4 U, V
$ H, x% [" l+ X* R5 ?, ~- e- {; q3 G
ynguo
d# A: \: {) ^3 E1 I$ N/ A& I
pts/7Aug
0 D, W4 v( R- ?. ~3 E1814:12
* Q7 K* z) u) E9 v* j# C9 a+ Z; Y
: X! n" r5 ~1 p) }ylou
" |7 R: ^" W6 Z8 ]% Gpts/8Aug
" g) N! a, D) Q {: V* B, Q! S/ X1814:15
* e1 t5 h3 n z6 Q" a+ B/ N9 ?1 _0 ]3 ~3 l. C
如果指明了wtmp文件名，则who命令查询所有以前的纪录。命令who/var/log/wtmp将报告自从wtmp文件创建或删改以来的每一次登录。
2 s/ i4 ^& U& s0 L
% S5 Y5 D, o1 a) c5 r
w：w命令查询utmp文件并显示当前系统中每个用户和它所运行的进程信息。例如：w（回车）显示：3:36pmup1day,22:34,6users,loadaverage:0.23,0.29,0.27
& n5 D7 a' K5 E$ j8 |7 E
1 O& z; i* g8 V0 t, l8 r5 }[color=#FFFFFF']
% X# P2 u3 r l8 j3 C7 V/ Y& r7 Y" x$ Z
. T6 I: C9 N2 o8 h: t
2 G* f$ K& h2 [$ H% q6 R' Z6 p0 j
/ c) }( s2 _' b9 fUSER
" A$ C6 t7 N& {TTY
: D+ d/ t) h- E! l) I) DFROM
* P' n+ M! H8 e! m2 b1 \
LOGIN@
; e2 ]# m& v5 I
IDLE
; }6 Q7 u7 ^9 B bJ
CPU
0 L9 C6 R* z) lPCPU
$ |# i; @" s9 @- w% y* @
WHAT
+ r! Q% \, {- a5 ~: e- G
1 U3 S* Z, v9 |9 V f |2 Q
chyang
# q/ k9 @8 ~- g" _# _) @pts/0
" c0 P1 |; p6 s# s5 I8 A$ b. v7 j- {202.38.68.242
9 R8 Y% z9 v8 p. V: i) w2 M
3:06pm
/ i$ O; _) {: J+ U1 y( a2 q& c2:04
& B. ]/ q8 t. _0.08s
) ^: ~- r% u4 \0 M; [' h
0.04s
& z+ r1 S( o8 M, z
-bash
$ k6 w$ e$ v/ c% }( |4 m" y) |$ e" J5 s1 [+ G% m; Z- \4 P7 W, K
ynguo
J4 A- ]- z% A. g) C; B! O" F0 Z' a rpts/2
. v! O& b. }8 s Y202.38.79.47
1 |/ `, O# j% |+ {; g* P& g3:32pm
9 h- m; I! L5 b# e& W
0.00s
6 r8 V* m, \! }" V z" u3 M* x4 i
0.14s
1 R; n5 f; H) m# L6 W. `" W0.05
5 w/ Y5 q7 L+ D% h! |, }4 Mw
: `5 d. M8 T w$ Q! t: Z7 `5 j
* q X* u; z. O! q2 Y+ Z! w8 i
lewis
$ u8 m: r' p. O
pts/3
$ `- ?8 r5 d& }202.38.64.233
* g# f! }7 I- k6 D9 F) \ E- r
1:55pm
: {/ C. X7 O9 _# G. ]9 h
30:39
" k7 Z* H" M4 Z; t$ p
0.27s
6 Z) S5 m' W: M8 e* G5 v
0.22s
- P' @, M& Y. g1 ]/ r
-bash
) Y/ }2 ~( J) {
8 k. B( {5 S. xlewis
2 V9 X G- E$ s& U, `0 X, T W. m$ a) S
pts/4
/ f" i# T3 w" A) f- \! z& P202.38.64.233
/ k$ N0 T3 S( d6 {! Q4 u1:35pm
( Z* T) g0 i3 D5 a Z
6.00s
) x$ w( W0 |- C7 B0 D+ C
4.03s
. X$ l$ D2 t; ~
0.01s
% l; J- `/ j) \/ q! Osh/home/users/
}- D3 X$ O5 r; y% X
4 a6 \/ q) h+ q& r1 F& S. fynguo
" g! Q( @' | K% D5 _0 Zpts/7
" F; L! C- U# l- D5 M7 j; H
simba.nic.ustc.e
; ^4 E; u7 \: S* V8 A; x6 r. {2:12pm
. z9 Q7 Q& I/ f- f" x, Z8 J8 Y
0.00s
$ H. m2 a9 U; R- G) G0.47s
! J% j0 W& F: O; d9 U* Y$ b
0.24s
# T0 c; u2 L* B# Z; m7 Z3 P# d4 Dtelnetmail
; |4 S3 A J- }) x! M
7 L( I$ b9 W0 a7 l5 f& p
ylou
4 d }8 f9 H; P4 S
pts/8
n+ L# {: m$ s, l4 p+ }8 T; u202.38.64.235
0 C$ t3 r* |/ f0 ?9 i. C2 |+ e2:15pm
0 q, P% p, a9 n% d4 n* ~1 g1 w( x2 D
1:09m
7 s$ w% Z: L. I/ v; ~; R) s0.10s
9 M6 K7 ~/ ]* K7 a* K# _# i* u3 o0.04s
5 C9 n1 U, [0 h! i/ |-bash
* `# @7 P. n! E9 a+ u7 R! O+ U' r
) m4 E6 F) w% Q' t; l" _users：users用单独的一行打印出当前登录的用户，每个显示的用户名对应一个登录会话。如果一个用户有不止一个登录会话，那他的用户名将显示相同的次数。例如：users（回车）显示：chyanglewislewisylouynguoynguo
) h" a9 r2 X* u3 q6 _
, w! a- y+ s* K- _last：last命令往回搜索wtmp来显示自从文件第一次创建以来登录过的用户。例如：
) s% q! A: K& S1 j4 v# I) {: r' `0 c
chyangpts/9202.38.68.242TueAug108:34-11:23(02:49)
* v3 E$ ? W8 A3 D" T) u4 d+ o
cfanpts/6202.38.64.224TueAug108:33-08:48(00:14)
7 s1 j6 l( C' s. N* u
chyangpts/4202.38.68.242TueAug108:32-12:13(03:40)
' B( C# Y' ^1 p3 q
lewispts/3202.38.64.233TueAug108:06-11:09(03:03)
0 ^. E- W% K) n2 j# g# f& K7 z$ slewispts/2202.38.64.233TueAug107:56-11:09(03:12)
! r4 i \/ K/ F$ S7 G' j) P如果指明了用户，那么last只报告该用户的近期活动，例如：lastynguo（回车）显示：
) L* }, W! W+ y, L5 s' C5 \4 f Xynguopts/4simba.nic.ustc.eFriAug416:50-08:20(15:30)
' r8 k& ^( E# |7 f4 }3 K
ynguopts/4simba.nic.ustc.eThuAug323:55-04:40(04:44)
1 `, h& T7 r* m: q7 z4 o% synguopts/11simba.nic.ustc.eThuAug320:45-22:02(01:16)
1 p0 J! d0 T, x n5 }
ynguopts/0simba.nic.ustc.eThuAug303:17-05:42(02:25)
* ^ Y; P9 ~0 c4 ?* m2 j: Bynguopts/0simba.nic.ustc.eWedAug201:04-03:16102:12)
7 v9 K& e4 m8 E% y0 s6 Y
ynguopts/0simba.nic.ustc.eWedAug200:43-00:54(00:11)
/ d# b% w) j' b) U- e8 Y6 A1 B9 uynguopts/9simba.nic.ustc.eThuAug120:30-21:26(00:55)
+ z4 N: L: \% j( N$ @& |
% ^7 W+ G' q" s! t' }ac：ac命令根据当前的/var/log/wtmp文件中的登录进入和退出来报告用户连结的时间（小时），如果不使用标志，则报告总的时间。例如：ac（回车）显示：total5177.47
- a$ y, g& ^5 C' f* ]
ac-d（回车）显示每天的总的连结时间
6 v( B1 C& \) B! {* C4 }Aug12total261.87
) `' j: O- g( s! U
Aug13total351.39
- W. [9 F9 B4 O2 D
Aug14total396.09
* }1 l, n( ~8 f4 x* x: r9 _5 V
Aug15total462.63
5 F5 W* |. O i3 ?; H# rAug16total270.45
& S" H* T$ x6 E
Aug17total104.29
1 ] o, l: g: w# ~; d3 oTodaytotal179.02
" q2 [; _, |! N1 E* S8 s4 t
ac-p（回车）显示每个用户的总的连接时间
$ t/ M. p$ Q8 G+ {$ Eynguo193.23
1 G, @# N2 ?6 A7 Y* P8 {yucao3.35
w d$ O! Z& `0 q3 c4 o6 v4 zrong133.40
( N6 h& T$ c% J$ F1 H! H! yhdai10.52
& e' z$ `& G$ S8 H6 |
zjzhu52.87
: h! c5 b" `% a2 A+ `zqzhou13.14
. J8 p: a! B3 m/ i; Mliangliu24.34
5 B5 n& x7 A4 r& Etotal5178.24
, L1 @" ~, X5 M, V, _lastlog：lastlog文件在每次有用户登录时被查询。可以使用lastlog命令来检查某特定用户上次登录的时间，并格式化输出上次登录日志/var/log/lastlog的内容。它根据UID排序显示登录名、
端口号（tty）和上次登录时间。如果一个用户从未登录过，lastlog显示"**Neverlogged**。注意需要以root运行该命令，例如：
9 `9 x* b8 t ^
* V1 ?( r5 c% K
* d8 t9 N O! D* X. c$ a% B
( }3 G: ? z: m8 @7 w& Z4 r7 m. e; V1 H% a: L; A4 H( `2 |" A
! ~* k) f2 H1 ~7 k3 z6 H
rong
# e1 V1 c) O0 I7 ^9 e3 i' ?0 w
5
. b+ j% ]. r% | |6 Z+ E202.38.64.187
0 E/ E) ?* a: m. m% M2 ?& j+ R
FriAug1815:57:0108002000
- l2 R% U7 A0 Z' t# M
, z7 e1 R, a- O5 j% V1 Q8 k# r
dbb
7 J c2 }2 x" S5 V" ~$ u: t0 t, q) ^( f3 H8 Z* Q
2 ]* S, Y4 B- f% f**Neverloggedin**
5 b1 D* J, Y9 ^' @
5 g. ?! \' \- b( k( ~sinchen
! u. z# b+ g k2 x% B, d3 v; k6 M7 ]3 B
( J, L7 N1 u. B& E, r) O+ u
8 R+ k) f$ C$ l- t! ]4 V+ G. C**Neverloggedin**
7 b l) O9 n% ~6 |
; z# f2 M9 I8 e* F* K* S- v- y vpb9511
7 U. H" }' R8 v: t8 f
; O& K- M. z: I- Q: |& |- W+ u' ^2 y+ F+ a; N9 I
**Neverloggedin**
& i, n( R, F: b/ f+ @% B' j6 S
% y* q% W* v5 ]" exchen
. V/ A/ i8 G* f; }; Y0
+ i9 s7 s6 x: X3 ?/ c4 @202.38.64.190
% B1 r9 o% o) ^! \4 R9 p6 p8 Z
SunAug1310:01:2208002000
5 u! n3 M w. |* T[color=#FFFFFF']
5 b4 H g, u, B( F* _
2 B* b8 L B& f( t
, q( S$ g; b4 k! C另外，可一加一些参数，例如，last-u102将报告UID为102的用户；last-t7表示限制上一周的报告。
# p& l1 V, D/ ]- h- q; ?6 w
?, @% S; [3 r/ V4 [9 o) i3.进程统计
, J/ k$ s5 _2 R6 a9 |: o
, c2 [# q: y4 ^5 I4 d# xUNIX可以跟踪每个用户运行的每条命令，如果想知道昨晚弄乱了哪些重要的文件，进程统计子系统可以告诉你。它对还跟踪一个侵入者有帮助。与连接时间日志不同，进程统计子系统缺省不激活，它必须启动。在Linux系统中启动进程统计使用accton命令，必须用root身份来运行。Accton命令的形式acctonfile，file必须先存在。先使用touch命令来创建pacct文件：touch/var/log/pacct，然后运行accton：accton/var/log/pacct。一旦accton被激活，就可以使用lastcomm命令监测系统中任何时候执行的命令。若要关闭统计，可以使用不带任何参数的accton命令。
3 d! c: |* e, E g! W" r$ l5 s0 A3 M5 t- r4 s3 T7 u' A
lastcomm命令报告以前执行的文件。不带参数时，lastcomm命令显示当前统计文件
生命周期内纪录的所有命令的有关信息。包括命令名、用户、tty、命令花费的CPU时间和一个时间戳。如果系统有许多用户，输入则可能很长。下面的例子：
5 F! W4 W! m. b7 s4 {0 D
2 h5 Z6 @( J! a3 {[color=#FFFFFF']
3 R. U- q5 X5 ?5 L1 M. t3 X+ ^4 i" ]( J$ k
) U1 J2 T$ s& a8 v/ ~& ?, {
( o5 h% _- p( L! j1 t( m2 x6 g9 n- H1 c8 ~
9 T. g+ T2 U# O7 b" y
crond
0 s- N# {, S) e* m0 L# X) \5 ~
F
" ]: p* G9 Y/ q; d$ ^6 ^" P
root
" R/ _' J1 X3 R3 C??
: r7 r4 y, w) [0.00scsSunAug2000:16
. ]* ~. u, i- b6 K1 z4 M6 Y" J5 U4 i( }- g% A6 P
promisc_check.s
+ X/ @ i; G& H- d
S
! a- `0 {. ~. L- G7 x
root
9 O% O$ e9 A$ l; s8 a
??
* U2 Q. S, Y+ r5 r( {* N2 i
0.04scsSunAug2000:16
$ F* O- `, H6 v7 l9 U! B0 S
2 p" j4 i2 u( Cpromisc_check
: {2 ^* W3 l5 g5 [- E1 q9 ~9 c
, ^# R& R6 v3 I& uroot
# c S) E4 c; t
??
6 O% x* S- g7 `. ?. G: b0.01scsSunAug2000:16
( X$ H2 n! {$ \% ?. _
8 ?1 G; c; F5 @) p5 m% Lgrep
! T1 ^* _6 l* g+ S
1 a/ q O5 h% g7 Sroot
& M+ F2 b" q$ r0 C7 m4 H
??
8 S5 o, c$ P, d' p5 r& Q3 C
0.02scsSunAug2000:16
& b; `+ K! N* v6 K% W
7 V1 r- N8 z2 T! a5 h" `
tail
& r# S" {" K& u& D+ D: n
) Y5 i+ k- |0 {
root
L! g% Q% }; V, H7 u
??
1 g* S! w4 u8 y. ?1 A0.01scsSunAug2000:16
& _ K; I8 H7 ^' f1 x
% A7 e+ n$ F1 I
sh
/ u: h# j `2 A" a; D' c3 H+ m) a# @
root
: U: M" x' g: i9 y0 o
??
6 G5 Z! o# n- T0.01scsSunAug2000:15
; \* X9 j8 M/ U5 U, k9 Y& U
0 Y. q1 m9 n, Y* I8 bping
& U# X o$ v# H4 }
S
( s1 U! {- l' K' U" i" Groot
5 T& ~" w2 _4 N( S4 Z" s T" `4 U& j# O??
+ A- k7 V# r# X0 m6 H$ h7 ~0 Q2 Q
0.01scsSunAug2000:15
5 y$ t4 p; X% s+ B
6 ^: N8 k8 ~/ s a7 j/ sping6.pl
( z1 A. {/ l, p9 c
F
# W* c; T& A* b. J: Iroot
4 @; g; q0 v; h" W, d) @, F
??
$ S. S& H- U& g: ~; {( k+ H
0.01scsSunAug2000:15
3 }: ^- z- o* M2 u3 G; E( d: X+ `! S; |: z7 ^$ t5 a
sh
( x( n+ P8 K! m; x/ f1 U1 G ?: h
6 s9 D" O/ k1 m; d' r
root
+ r [7 l6 h. G. Q6 d% `4 l??
* g8 P7 b8 h% d7 m3 T1 c* h# }% b
0.01scsSunAug2000:15
! @3 a6 O; {. U; k$ C' A9 o& \
2 f9 N* |- z5 Z& Hping
7 l9 c7 }6 ?' v* b7 ^: K8 f/ [8 AS
% n% b& l- T* E( _: S2 T
root
6 [( ~5 U" w8 ]9 d- c1 N& I, k/ G
??
, I8 ?% B+ } ~+ r v# P" R" q+ j
0.02scsSunAug2000:15
8 D1 C; X7 u! e- T8 b9 ]$ T) w2 g& Z* k% @. |0 a* }
ping6.pl
5 r4 U" x" x, e& t: F' ^& uF
& x4 U0 H. P5 x$ n
root
8 f) r0 l" W L3 j9 t; _0 \??
4 X7 g4 g( Q+ M" ~/ Q/ ^; h: s. A: V0.02scsSunAug2000:15
; M! _7 V% S/ Q6 o5 W( ~5 D
4 R7 H) k1 s1 ]& H$ z0 D
sh
# c( _* w& S, Q- S& g
( A& K! \' e) K' Z2 O# jroot
. z: v6 D) y9 J??
" {9 l! @: }+ m
0.02scsSunAug2000:15
4 I( z, t% f# M0 P) w, d% A" W
. D- T3 x0 S$ a, opingSroot??0.00secsSunAug2000:15
1 y4 z0 q* J" f- _( eping6.plFroot??0.01secsSunAug2000:15
( m- n) H# c1 k0 d) J" X3 [
shroot??0.01secsSunAug2000:15
$ h- m% B7 O% @% I: N. C8 [+ c" \+ K
pingSroot??0.01secsSunAug2000:15
* G4 k: y- b7 a, `; dshroot??0.02secsSunAug2000:15
1 E& t$ d& r7 G" b1 Q) zpingSroot??1.34secsSunAug2000:15
7 U2 E( |% p, U6 s q1 {6 N
locaterootttyp01.34secsSunAug2000:15
* P: V, k7 t- X G% z: L, J# {acctonSrootttyp00.00secsSunAug2000:15
7 o! C$ n- ]; `$ U: o7 ~
! l& Y7 U4 @' j, c _9 A
进程统计的一个问题是pacct文件可能增长的十分迅速。这时需要交互式的或经过cron机制运行sa命令来保持日志数据在系统控制内。sa命令报告、清理并维护进程统计文件。它能把/var/log/pacct中的信息压缩到摘要文件/var/log/savacct和/var/log/usracct中。这些摘要包含按命令名和用户名分类的系统统计数据。sa缺省情况下先读它们，然后读pacct文件，使报告能包含所有的可用信息。sa的输出有下面一些标记项：
0 @+ {$ B7 Q) u+ n D% T) o
2 k- r" L' k5 I
avio--每次执行的平均I/O操作次数
, h- U* u) }3 J% u; G; z
cp--用户和系统时间总和，以分钟计
2 Q. P3 n5 [7 N0 X; ?. V! N
cpu--和cp一样
3 h; d5 z$ k9 U; m yk--内核使用的平均CPU时间，以1k为单位k*sec--CPU存储完整性，以1k-core秒re--实时时间，以分钟计
. x6 N1 o1 `; I! g% ]& L0 N
s--系统时间，以分钟计
L* G: G+ W% l) t4 @tio--I/O操作的总数
# G9 p) k/ Z- w( Y" P+ r8 ?u--用户时间，以分钟计例如：
! x. s, F# m% ~$ N7 E! G) W7 o+ H: V1 ?7 u" s8 D
5 D( |' ]4 ^3 Y9 s
' @1 h; e0 n, _/ `3 `; V% ^3 D. {: O( Y* ]. N
8 G8 u$ Y( G( ~) D/ F0 Y' {842
- \& p- a% r7 F: ^1 n" K% z
173.26re
: F% x& e( M" `1 V
4.30cp@avio358k
2 t/ H9 _+ L" w1 L) D$ V9 z
% ?2 b! E& D3 A# W! O2
) h2 i) C) X& P' N" I3 i9 \10.98re
8 N% t8 m0 I3 L7 E
4.06cp@avio299kfind
$ P4 e" M1 u; w" M# {/ t. t# y# h
( a* @% _8 x5 {9
: C) w1 L0 l# L" l0 L
24.80re
" d8 X: z: V! d! X, c
0.05cp@avio291k***other
4 z4 g" [( y8 N9 E. W
9 V- t. A5 s% W. S. u105
: }7 a" h% J. @3 v30.44re
- ^/ V$ q' \8 a$ B8 j& B5 }0.03cp@avio302kping
. a0 b P, O, d @
5 q% G: ^% i( f$ I5 S
104
5 X" {$ B8 r5 x( {! D7 g) p1 e30.55re
* w0 d; M- I# k- B) a& [
0.03cp@avio394ksh
7 e4 u, O" F, V
# {6 k. n) ]' W
162
# w6 M( ~. @9 A
0.11re
$ G( {5 F- B. C( j" R: g3 N
0.03cp@avio413ksecurity.sh*
' k! W/ l: j, {2 o
! ^! ]+ z% e& @( q2 x" q4 D- ]154
( P4 a1 W, T, e+ _+ {+ d* G0.03re
# y5 o. w" b7 D1 o9 k2 p H
0.02cp@avio273kls
2 `8 `) ?7 c! E: L
! f9 V. F' ^$ b( l) A/ G
56
: I# [7 v. M Q% j- G' N4 @! y, l2 p31.61re
! x g2 t9 G1 ^) Z9 N) r0.02cp@avio823kping6.pl*
# V6 ^) Y1 M! n6 [ Z
6 f) `5 _/ X, h" W( f2
2 _/ L% J9 d/ q$ N
3.23re
5 [' q6 \/ i3 W3 |" J2 _$ w2 z- @0.02cp@avio822kping6.pl
' r! ]/ K$ s, p- n8 j
; N6 T. ~+ ~" f% f3 G! \3 Z35
. T4 h( _4 H4 Q0.02re
/ X, E9 A, x! q: j$ [
0.01cp@avio257kmd5sum
W+ y' ^, d/ v
2 I- i6 d! A* S$ i& D3 m97
! R( _2 o. x# r4 q& v
0.02re
3 y5 A, U" @: _" v6 l$ g0.01cp@avio263kinitlog
, p! q1 D! N! J- u
& f6 {$ D( x' F5 `! T12
% E( G, S+ R2 ~; j! g4 W/ H0.19re
$ r0 |' Q% {7 C# I* c3 d+ u. i
0.01cp@avio399kpromisc_check.s
* v, m5 {. W" T9 C( ^: `4 ]/ Z
. o2 u8 y; E2 z! F; g- |4 S0 J15
/ w7 F/ V8 d! g+ [3 v5 r
0.09re
. d9 a l' N! L! ^- R
0.00cp@avio288kgrep
. V& u1 |; I' C/ y1 o- }+ C2 Q
9 |) Q7 u5 R' \- n0 R- F1 J11
) N) e& F3 a0 U! w$ P4 s d
0.08re
3 p4 I& _7 q# \! E% s7 P
0.00cp@avio332kawk
: h, T2 W) w8 x
0 ^! }' U U+ d用户还可以根据用户而不是命令来提供一个摘要报告。例如sa-m显示如下：
9 t+ \$ V* J% O0 c4 d: w7 C. s6 W1 m4 _7 q, c2 B" N- Z$ V
6 R$ w$ o. f/ E! u$ [. Z( O
3 K( J5 p, z1 t& y/ \
) C$ `+ I6 i4 s8 G. L
% U( M& [# f0 ^; \3 s: U" [
6 `( W1 u0 `7 [" H885
$ o3 {. \& G9 D% e1 i0 n+ K$ y
173.28re
8 B* o& Z. a$ N! C5 k* L4.31cp0avk
0 Z* b! ]5 A# j3 R
, G2 g2 J3 h, S: k# xroot
. ?6 |. J: A, ~; S5 z0 [( A879
8 ]1 B- l7 G: u/ Z v
173.23re0.
a7 | S* G- D' V- L! }& B4.31cp0avk
% z, V% W" j1 T3 L1 Z) q) W3 G1 h
4 f7 I- [5 n! L5 Q$ Ualias
/ o+ D9 S; [5 J$ y$ c2 Y# N3
0 _" O! Z3 W3 t- }0 r
0.05re
+ X( ], p' A1 P/ J5 O0.00cp0avk
$ B( |: b; u5 \ {2 B& ?" V5 {5 S8 s
( }% z1 L4 J0 E
qmailp
& O/ u* `! Q, Z A: m3
. F' g2 u. @) }4 l+ q0.01re
4 G" U7 Q( `/ C* C, _7 p4 {
0.00cp0avk
7 m& w2 {. C. w# j4.Syslog设备
6 o' x% ?3 U2 e2 Q7 y
" M4 A8 |% O: g$ Q$ [* h5 Y# |
Syslog已被许多日志函数采纳，它用在许多保护措施中--任何程序都可以通过syslog纪录事件。Syslog可以纪录系统事件，可以写到一个文件或设备中，或给用户发送一个信息。它能纪录本地事件或通过网络纪录另一个主机上的事件。
) F4 f: x4 R2 Q2 P1 J9 Q7 D% o, P* o. E
Syslog设备依据两个重要的文件：/etc/syslogd（守护进程）和/etc/syslog.conf配置文件，
习惯上，多数syslog信息被写到/var/adm或/var/log目录下的信息文件中（messages.*）。一个典型的syslog纪录包括生成程序的名字和一个文本信息。它还包括一个设备和一个优先级范围（但不在日之中出现）。
$ ~3 w' @ { U2 L) Z
* f( o* t# `9 [+ D
每个syslog消息被赋予下面的主要设备之一：
: m( q P) `4 @8 o9 Q6 }- }LOG_AUTH--认证系统：login、su、getty等
! C5 M5 O* l) R v9 rLOG_AUTHPRIV--同LOG_AUTH，但只登录到所选择的单个用户可读的文件中
: @, v/ w6 z4 @8 L8 |4 ^
LOG_CRON--cron守护进程
+ @, ?: J' a. ?& z! r
LOG_DAEMON--其他系统守护进程，如routedLOG_FTP--文件传输协议：ftpd、tftpd
. }6 p& `* A* L2 p& F f
LOG_KERN--内核产生的消息
: W" z6 Q! ~2 `# o0 O: ]LOG_LPR--系统打印机缓冲池：lpr、lpd
3 X" s5 B$ B/ s( i" h4 }$ ?; uLOG_MAIL--
电子邮件系统
# k/ Q* g" M7 s u/ q, L \
LOG_NEWS--网络
新闻系统
! D' J+ J5 ^5 N+ Y: VLOG_SYSLOG--由syslogd（8）产生的内部消息
: Y% S- q/ M! g7 X2 ^LOG_USER--随机用户进程产生的消息
+ Q. D" E+ b5 ?7 f8 L/ uLOG_UUCP--UUCP子系统
; c9 O& Q% p$ C, P3 C/ S; O2 q
LOG_LOCAL0"LOG_LOCAL7--为本地使用保留
5 ?2 m$ A4 a3 }' ]" x# R5 ]+ b7 A& M' R+ m
Syslog为每个事件赋予几个不同的优先级：
! K, p" G: @0 t
LOG_EMERG--紧急情况
. N+ C, t) t' ^* c6 y2 W# u
LOG_ALERT--应该被立即改正的问题，如系统
数据库破坏
0 B6 k. F5 _% \5 `, {& }. iLOG_CRIT--重要情况，如
硬盘错误
& D9 Q) x& S9 h5 M( JLOG_ERR--错误
0 P: [7 \8 {+ ]0 f6 Q" U; mLOG_WARNING--警告信息
; a0 I U+ ?8 ~7 L: j+ x2 _
LOG_NOTICE--不是错误情况，但是可能需要处理
4 M% p8 |7 t; Q# i% D
LOG_INFO--情报信息
4 z) @( Q( N% o2 \LOG_DEBUG--包含情报的信息，通常旨在调试一个程序时使用
4 w) {, m" |! K6 I
6 F# B. o( {+ W J" Q9 o
syslog.conf文件指明syslogd程序纪录日志的行为，该程序在启动时查询配置文件。该文件由不同程序或消息分类的单个条目组成，每个占一行。对每类消息提供一个选择域和一个
动作域。这些域由tab隔开：选择域指明消息的类型和优先级；动作域指明syslogd接收到一个与选择标准相匹配的消息时所执行的动作。每个选项是由设备和优先级组成。当指明一个优先级时，syslogd将纪录一个拥有相同或更高优先级的消息。所以如果指明"crit"，那所有标为crit、alert和emerg的消息将被纪录。每行的行动域指明当选择域选择了一个给定消息后应该把他发送到哪儿。例如，如果想把所有邮件消息纪录到一个文件中，如下：
Q- s9 j. Z4 G3 I; o7 [ l/ u
#Logallthemailmessagesinoneplace
, K( D w3 B3 C6 |3 T1 A1 P2 L9 X
mail.*/var/log/maillog
) t! |9 p* R. X- l O- G
其他设备也有自己的日志。UUCP和news设备能产生许多外部消息。它把这些消息存到自己的日志（/var/log/spooler）中并把级别限为"err"或更高。例如：
; F- C; }7 E2 r7 |* V* N8 V
#Savemailandnewserrorsoflevelerrandhigherinaspecialfile.uucp,news.crit/var/log/spooler
) V. I, H; W% V
* v$ s1 z' T# R9 ]7 H7 r当一个紧急消息到来时，可能想让所有的用户都得到。也可能想让自己的日志接收并保存。#Everybodygetsemergencymessages，pluslogthemonanthermachine*.emerg**.emerg@linuxaid.com.cn
3 ? T+ h) [) J8 \4 N
alert消息应该写到root和tiger的个人账号中：
3 k' X0 Z" g# R' r( ^! |" W. E5 N% ?#RootandTigergetalertandhighermessages
# z6 m4 s) h8 U; S7 _
*.alertroot,tiger
. c, D: h5 S4 d1 h' l% |( F* a, u
9 H' [6 }( Q4 q- `5 y有时syslogd将产生大量的消息。例如内核（"kern"设备）可能很冗长。用户可能想把内核消息纪录到/dev/console中。下面的例子表明内核日志纪录被注释掉了：
) i1 W* f+ F3 D
#Logallkernelmessagestotheconsole
/ S6 d% E$ j" J6 \5 U& f6 T E7 L
#Loggingmuchelsecluttersupthescreen
0 s: v5 o- N$ ?- W6 r
#kern.*/dev/console
. {$ ]. K o/ w* I- E0 T
: @5 d8 M3 [! A; V& e; {( \5 M用户可以在一行中指明所有的设备。下面的例子把info或更高级别的消息送到/var/log/messages，除了mail以外。级别"none"禁止一个设备：
- d2 Y( K) v3 k& T# V
#Loganything（exceptmail）oflevelinfoorhigher
5 M5 E% A9 H3 v#Don'tlogprivateauthenticationmessages!
; r# D) U5 F( g* o*.info:mail.none;authpriv.none/var/log/messages
( F- v! V( f' i g, S) @9 m8 i
1 C9 M3 ?- n% X/ {2 R1 M" ] \在有些情况下，可以把日志送到打印机，这样网络入侵者怎么修改日志都没有用了。通常要广泛纪录日志。Syslog设备是一个攻击者的显著目标。一个为其他主机维护日志的系统对于防范服务器攻击特别脆弱，因此要特别注意。
- i4 n2 m7 w! n6 s# [# \& \3 t) K+ v: U8 E
有个小命令logger为syslog（3）系统日志文件提供一个
shell命令接口，使用户能创建日志文件中的条目。用法：logger例如：loggerThisisatest！它将产生一个如下的syslog纪录：Aug1922:22:34tiger:Thisisatest!
l9 ^( Y& [( z7 f; @3 h
它将产生一个如下的syslog纪录：Aug1922:22:34tiger:Thisisatest!注意不要完全相信日志，因为攻击者很容易修改它的。
; I! h, C; F" g5 i* k0 e. f4 m+ I0 Y
6 k% p7 f' l5 i% N3 P
5.程序日志
! f8 w+ p" |9 B5 H* S1 n% c2 u6 X0 ~$ f5 g" \9 }: r; C
许多程序通过维护日志来反映系统的安全状态。su命令允许用户获得另一个用户的权限，所以它的安全很重要，它的文件为sulog。同样的还有sudolog。另外，想Apache有两个日志：access_log和error_log。
1 O* r8 {- s& p2 H% l6 [2 t
3 l6 ~9 M' A8 Z: x9 j J% q
6.其他日志工具
/ T/ j) k% f, R! P2 w/ Hchklastlog
" E, G$ T5 i9 Iftp://coast.cs.purdue.edu/pub/tools/unix/chklastlog/
% ~ z* @0 Q% V3 Z
chkwtmp
7 j& D H. q# |5 e& J- cftp://coast.cs.purdue.edu/pub/tools/unix/chkwtmp/
+ \6 |: Z/ v; V; Fdump_lastlog
$ Y& m. v5 f9 q
ftp://coast.cs.purdue.edu/pub/tools/unix/dump_lastlog.Z
5 h- H$ L8 M6 i# ^+ c7 s4 v! S
spar
% P' s* o) f* }5 G/ `! Tftp://coast.cs.purdue.edu/pub/tools/unix/TAMU/
/ `6 n' x/ X% o* X, h- lSwatch
5 v* r8 [9 c! s/ c( B' g
http://www.lomar.org/komar/alek/pres/swatch/cover.html
" I8 ]* W. T& u. \' w5 I& E
Zap
/ ]8 F0 }$ d- L/ o. T, jftp://caost.cs.purdue.edu/pub/tools/unix/zap.tar.gz
4 C5 q# I- i9 l" c9 b* _7 H
日志分类方法
+ }0 e5 N8 i( j/ @4 }5 ?5 {. M/ a
http://csrc.nist.gov/nissc/1998/proceedings/paperD1.pdf
