daemon
可以理解成為service
兩大類：
stand_alone：此 daemon 可以自行單獨啟動服務，加載到內存后就一直占用內存與系統(tǒng)資源；如 www的httpd ，ftp的vsftpd；
super daemon: 統(tǒng)一daemon負責喚醒其他服務；當沒有客戶請求的時候，各項服務都是未啟動，等到有客戶端請求時，super daemon才喚醒相對應的服務，請求結束后，被喚醒的服務也會關閉并釋放系統(tǒng)資源；常見的服務如 Telnet；
服務各文件位置
/etc/service
各服務的端口號
/etc/init.d/* ： 啟動腳本放置處
/etc/sysconfig/* ： 各服務的初始化環(huán)境配置文件
/etc/* ： 各服務各自的配置文件
/var/lib/* ： 各服務產生的數(shù)據(jù)庫
啟動方式
stand_alone：
1. [root@www ~]# /etc/init.d/syslog start2. [root@www ~]# service syslog start
[root@www ~]# service --status-all
將系統(tǒng)所有的stand_alone的服務狀態(tài)通通列出來
檢查服務是否啟動：如atd
service --status-all atd
chkconfig
管理系統(tǒng)服務默認開機啟動與否
[root@www ~]# chkconfig --list [服務名稱]
[root@www ~]# chkconfig [--level [0123456]] [服務名稱] [on|off]
選項與參數(shù)：
--list ： 僅將目前的各項服務狀態(tài)欄出來
--level：設定某個服務在該 level 下啟動 (on) 或關閉 (off)
開機自啟動：
chkconfig atd on;
chkconfig： 設定自己的系統(tǒng)服務
[root@www ~]# chkconfig [--add|--del] [服務名稱]
選項與參數(shù)：
--add ：增加一個服務名稱給 chkconfig 來管理，該服務名稱必須在/etc/init.d/ 內
--del ： 刪除一個給 chkconfig 管理的服務
如何讓自己的程序成為系統(tǒng)服務讓chkconfig來管理：
只要將該服務加入 init 可以管理的 script 當中，亦即是 /etc/init.d/ 當中即可。
舉個例子，我們在 /etc/init.d/ 里面建立一個 myvbird 檔案，該檔案僅是一個簡單的服務范例，基本上，沒有任何用途....對于該檔案的必須性是這樣的：
? myvbird 將在 run level 3 及 5 啟動；
? myvbird 在 /etc/rc.d/rc[35].d 當中啟動時，以 80 順位啟動，以 70 順位結束。順位在后面會講到；
[root@www ~]# vim /etc/init.d/myvbird#!/bin/bash# chkconfig: 35 80 70# description: 沒啥！只是用來作為練習用的一個范例echo "Nothing"#注意：第一，二，三行的格式均要有哦，少一個都不行；
[root@www ~]# chkconfig --list myvbirdservice myvbird supports chkconfig, but is not referenced in anyrunlevel (run 'chkconfig --add myvbird')# 尚未加入 chkconfig 的管理機制中！所以需要再動點手腳[root@www ~]# chkconfig --add myvbird; chkconfig --list myvbirdmyvbird 0:off 1:off 2:off 3:on 4:off 5:on 6:off# 看吧！加入了 chkconfig 的管理當中了！# 很有趣吧！如果要將這些數(shù)據(jù)都刪除的話，那舉就下達這樣的情況：[root@www ~]# chkconfig --del myvbird[root@www ~]# rm /etc/init.d/myvbird
chkconfig --list | grep atd
等級說明：
等級0表示：表示關機
等級1表示：單用戶模式
等級2表示：無網絡連接的多用戶命令行模式
等級3表示：有網絡連接的多用戶命令行模式
等級4表示：不可用
等級5表示：帶圖形界面的多用戶模式
等級6表示：重新啟動
ps aux | grep atd
netstart
這個網絡觀察指令來檢查我們的port，
Super daemon ：
服務必須在super daemon配置文件(/etc/xinetd.d)中設定啟動該服務才行;
如啟動rsync這個服務
# 1. 先修改配置文件成為啟動的模樣：
[root@www ~]# vim /etc/xinetd.d/rsync
# 請將 disable 那一行改成如下的模樣 (原本是 yes 改成 no 就對了)
service rsync
{
disable = no
....(后面省略)....
# 2. 重新啟動xinetd 這個服務
[root@www ~]# /etc/init.d/xinetd restart
正在停止 xinetd: [ 確定 ]
正在激活 xinetd: [ 確定 ]
# 3. 觀察啟動的端口號
[root@www ~]# grep 'rsync' /etc/services <==先看看端口號
rsync 873/tcp # rsync
rsync 873/udp # rsync
xinetd, TCP Wrappers
服務的防火墻管理
防火墻分析主要可以透過封包過濾或者是透過軟件分析
linux默認提供一個軟件分析的工具：/etc/hosts.deny,/etc/hosts.allow這兩種配置文件。另外如果安裝 tcp wrappers 還可以增加額外的追蹤功能；
/etc/hosts{allow|deny}
管理默寫程序接受或者拒絕來自互聯(lián)網的聯(lián)機；任何以xinetd管理的服務都可以透過以上兩個文件來設定防火墻。
防火墻
簡單來說就是針對來源IP或者網域進行允許或拒絕的設定
/usr/sbin/tcpd
用來分析進入系統(tǒng)的 TCP 網絡封包的一個軟件
其實/etc/hosts.{allow|deny}這兩個也是/usr/sbin/tcpd的配置文件
TCP 封包的文件頭主要記錄了來源與目主機的 IP 與 port ，因此 TCP封包并搭配 /etc/hosts.{allow,deny} 的規(guī)則比對，就可以決定該聯(lián)機是否能夠進入我們的主機
TCP Wrappers 來控管的就是：
1. 來源 IP 或/與 整個網域的 IP 網段；
2. port (就是服務啦，前面有談到啟動某個端口是 daemon 的責任啊)
這么來說只要某個服務受到xinetd管理，或者TCP Wrappers,時就可以 /etc/hosts.{allow,deny} 來處理；
查看是否支持Wrappers:
范例一：測試一下達成 sshd 及 httpd 這兩個程序有無支持 TCP Wrappers 的功
能
[root@www ~]# ldd $(which sshd httpd)
/usr/sbin/sshd:
libwrap.so.0 => /usr/lib64/libwrap.so.0 (0x00002abcbfaed000)
libpam.so.0 => /lib64/libpam.so.0 (0x00002abcbfcf6000)
....(中間省略)....
/usr/sbin/httpd:
libm.so.6 => /lib64/libm.so.6 (0x00002ad395843000)
libpcre.so.0 => /lib64/libpcre.so.0 (0x00002ad395ac6000)
....(底下省略)....
# 重點在與軟件有沒有支持 libwrap.so 那個函式庫啰
ldd (library dependency discovery)
一般用法:主要是查libwrap.so有沒有支持這個庫
[root@www ~]# ldd $(which sshd ) | grep libwrap.so
配置文件語法
這兩個檔案的設定語法都是一樣的，基本上，看起來應該像這樣：
<service(program_name)> : <IP, domain, hostname> : <action>
<服務 (亦即程序名稱)> : <IP ,領域 或主機名> : < 動作 >
# 上頭的 < > 是不存在與配置文件中的喔！
第一個是找出你想要管理的那個程序的文件名
第二個才是寫下來你想要放行或者是抵擋的 IP或網域
范例一： rsync 服務，我們將抵擋 127.0.0.100, 127.0.0.200, 及放行140.116.0.0/16
[root@www ~]# vim /etc/hosts.deny
rsync : 127.0.0.100 127.0.0.200 : deny
或:
[root@www ~]# vim /etc/hosts.deny
rsync : 127.0.0.100 : deny
rsync : 127.0.0.200 : deny
需要注意的是：
? 寫在 hosts.allow 當中的 IP 與網段，為預設『可通行』的意思，亦即最后一個字段 allow 可以不用寫；
? 而寫在 hosts.deny 當中的 IP 與網段則預設為 deny ，第三欄的 deny 亦可省略；
? 這兩個檔案的判斷依據(jù)是： (1) 以 /etc/hosts.allow 為優(yōu)先，而 (2) 若分析到的 IP 與網段并沒有記錄在/etc/hosts.allow ，則以 /etc/hosts.deny 來判斷。
特殊參數(shù)在第一及第二個字段：
? ALL：代表全部的 program_name 或者是 IP 都接受的意思，例如 ALL: ALL: deny
? LOCAL：代表來自本機的意思，例如： ALL: LOCAL: allow
? UNKNOWN：代表不知道的 IP 或者是 domain 或者是服務時；
? KNOWN：代表為可解析的 IP, domain 等等信息時；
再強調一次，那個 service_name 其實是啟動該服務的程序，舉例來說， /etc/init.d/sshd 這個 script 里面， 實際上啟動ssh 服務的是 sshd 這個程序，所以，你的 service_name 自然就是 sshd；
范例二：
以 rsync 為例子1. 只允講 140.116.0.0/255.255.0.0 與 203.71.39.0/255.255.255.0 這兩個網域，及 203.71.38.123 這個主機可以進入我們的 rsync 服務器；2. 此外，其他的 IP 全部都擋掉！
[root@www ~]# vim /etc/hosts.allow
rsync: 140.116.0.0/255.255.0.0
rsync: 203.71.39.0/255.255.255.0
rsync: 203.71.38.123
rsync: LOCAL
[root@www ~]# vim /etc/hosts.deny
rsync: ALL <==利用 ALL 設定讓所有其他來源不可登入
TCP Wrappers 特殊功能：
更加細部的主要動作則有：
? spawn (action)可以利用后續(xù)接的 shell 來進行額外的工作，且具有變量功能，主要的變量內容為： %h (hostname), %a(address), %d (daemon)等等；
? twist (action)立刻以后續(xù)的指令進行，且執(zhí)行完后終止該次聯(lián)機的要求 (DENY)
追蹤掃描者IP，并警告掃描者：
1. 利用 safe_finger 去追蹤出對方主機的信息 (包括主機名、用戶相關信息等)；2. 將該追蹤到的結果以 email 的方式寄給我們本機的 root ；3. 在對方屏幕上面顯示不可登入且警告他已經被記錄的訊息
由于是抵擋的機制，因此我們這個 spawn 與 twist 的動作大多是寫在 /etc/hosts.deny 檔案中的。我們將上述的動作寫成類似如下的東東：
[root@www ~]# vim /etc/hosts.deny
rsync : ALL: spawn (echo "security notice from host $(/bin/hostname)" ;\
echo; /usr/sbin/safe_finger @%h ) | \
/bin/mail -s "%d-%h security" root & \
: twist ( /bin/echo -e "\n\nWARNING connection not allowed.\n\n" )
可見safe_finger是一個可執(zhí)行的程序；
解析：
1. rsync：指的就是 rsync 這個服務的程序啰；
2. ALL： 指的是來源，這個范圍指的當然是全部的所有來源啰，因為是 ALL
3. spawn (echo "security notice from host $(/bin/hostname)" ; echo ; /usr/sbin/safe_finger @%h ) | /bin/mail-s "%d-%h security" root &： 由于要將一些偵測的數(shù)據(jù)送給 root 的郵件信箱，因此需要使用數(shù)據(jù)流匯整的括號( )，括號內的重點在于 safe_finger 的項目，他會偵測到客戶端主機的相關信息，然后使用管線命令將這些數(shù)據(jù)送給 mail 處理， mail 會將該信息以標頭為 security 的字樣寄給 root 啦！由于spawn 只是中間的過程，所以還能夠有后續(xù)的動作
4. twist ( /bin/echo -e "\n\nWARNING connection not allowed.\n\n" )： 這個動作會將 Warning 的字樣傳送到客戶端然后中斷聯(lián)機；
認識與分析登陸檔
簡單來說就是記錄系統(tǒng)在什么時候由哪個程序做了什么樣的行為時，發(fā)生了何種的事件
登陸檔的重要性：
1.解決系統(tǒng)方面的錯誤 舉例來說 某些硬件偵測不到導致某些程序無法啟動，那么可以查詢登陸文件，來查看該硬件到底出了什么問題；
2.解決網絡服務的問題 舉例來說 無法啟動郵件服務 那么查詢一下/var/log/maillog通常可以得到不錯的解答
3. 過往事件記錄簿 舉例來說 WWW服務 (apache 軟件) 在某個時刻流量特別大， 可以透過登錄檔去找出該時段是哪些 IP 在聯(lián)機與查詢的網頁數(shù)據(jù)為何，就能夠知道原因
Linux 常見的登錄檔名
/var/log/cron crontab 排程有沒有實際被進行？ 進行過程有沒有發(fā)生錯誤？/etc/crontab 是否撰寫正確？
/var/log/dmesg 記錄系統(tǒng)在開機的時候核心偵測過程所產生的各項信息。
/var/log/lastlog 可以記錄系統(tǒng)上面所有的賬號最近一次登入系統(tǒng)時的相關信息。
/var/log/maillog 或/var/log/mail/* 記錄郵件的往來信息，其實主要是記錄 sendmail (SMTP 協(xié)議提供者) 與 dovecot (POP3 協(xié)議提供者) 所產生的訊息啦。 SMTP 是發(fā)信 所使用的通訊協(xié)議， POP3 則是收信使用的通訊協(xié)議。 sendmail 與 dovecot 則分別是兩套達成通訊協(xié)議的軟件。
/var/log/messages 檔案相當?shù)闹匾?，幾乎系統(tǒng)發(fā)生的錯誤訊息 (或者是重要的信息) 都會記錄在這個檔案中； 如果系統(tǒng)發(fā)生莫名的錯誤時，這個檔案是一定要查閱的登錄檔
/var/log/secure 基本上，只要牽涉到『需要輸入賬號密碼』的軟件，那舉當?shù)侨霑r (不管登入正確或錯誤) 都會被記錄在此檔案中。 包括系統(tǒng)的 login 程序、圖形接口登 入所使用的 gdm 程序、 su, sudo 等程序、還有網絡聯(lián)機的 ssh,telnet 等程序， 登入信息都會被記載在這里；
/var/log/wtmp, /var/log/faillog 這兩個檔案可以記錄正確登入系統(tǒng)者的帳戶信息 (wtmp) 與錯誤登入時所使用的帳戶信息 (faillog) ！ 我們在第十一章談到的 last 就是讀 取 wtmp 來顯示的， 這對與追蹤一般賬號者的使用行為很有幫助！
/var/log/httpd/*, /var/log/news/*, /var/log/samba/*
不同的網絡服務會使用它們自己的登錄檔案來記載它們自己產生的各項訊息！上述的目錄內則是個別服務所制訂的登錄檔。
登陸檔的產生
1. 由軟件開發(fā)商自行定義寫入的登錄檔與相關格式， 例如 WWW 軟件 apache 就是這樣處理的；
2. 由 Linux distribution 提供的登錄檔管理服務來統(tǒng)一管理。 你只要將訊息丟給這個服務后，他就會自己分門別類的將各種訊息放置到相關的登錄檔去！CentOS 提供 syslogd 這個服務來統(tǒng)一管理登錄檔
klogd：專門記錄核心信息的登錄文件服務。
所以說，登錄檔所需的服務主要就是 syslogd 與 klogd 這兩者。
logrotate
登錄檔輪替 自動化處理登錄文件容量與更新的問題
總結一下，針對登錄文件所需的功能，我們需要的服務與程序有：
? syslogd： 主要登錄系統(tǒng)與網絡等服務的訊息；
? klogd： 主要登錄核心產生的各項信息；
? logrotate：主要在進行登錄文件的輪替功能。
規(guī)劃使用上述三個文檔：
syslogd ：記錄登錄文件的服務
登錄檔內容的一般格式：
? 事件發(fā)生的日期與時間；
? 發(fā)生此事件的主機名；
? 啟動此事件的服務名稱 (如 samba, xinetd 等) 或函式名稱 (如 libpam ..)；
? 該訊息的實際數(shù)據(jù)內容。
舉例：登陸記載賬戶信息的/var/log/secure
[root@www ~]# cat /var/log/secure
1 Mar 14 15:38:00 www atd[18701]: pam_unix(atd:session): session opened for user root by (uid=0)
2 Mar 14 15:38:00 www atd[18701]: pam_unix(atd:session): session closed for user root
我們拿第一筆數(shù)據(jù)來說明好了，該資料是說：『 在三月 14 日 (Mar 14) 的下午 15:38 分，由 www 這部主機的 atd[PID 為 18701] 傳來的消息，這個消息是透過 pam_unix 這個模塊所提出的。訊息內容為 root (uid=0) 這個賬號已經開啟 atd 的活動了。 』
/var/log/messages 作為一個系統(tǒng)管理員一定要關注，尤其是發(fā)生以下情況時：
? 當你覺得系統(tǒng)似乎不太正常時；
? 某個 daemon 老是無法正常啟動時；
? 某個使用者老是無法登入時；
? 某個 demon 執(zhí)行過程老是不順暢時；
/etc/syslog.conf
syslogd的配置文件
這個檔案規(guī)定了『 (1)什么服務 (2)的什么等級訊息 (3)需要被記錄在哪里(裝置或檔案)』
登錄檔的安全性設置
設置隱藏屬性lsattr與chattr,將登陸文檔設置成【 只能增加,不能刪除的屬性】
注意: syslog 的登錄檔只要『被編輯過，如vim查看以:wq離開』就無法繼續(xù)記錄！ 所以才會導致不能記錄的問題。此時你得要重新啟動syslog讓他再繼續(xù)提供服務；
[root@www ~]# chattr +a /var/log/messages
[root@www ~]# lsattr /var/log/messages
-----a------- /var/log/messages
root 以『chattr -a /var/log/messages 』取消這個 a 的參數(shù)后，才能被刪除或移動；
當我們進行登錄檔案輪替時 (logrotate) ，將會無法移動該登錄檔的檔名呢！所以會造成很大的困擾。這個困擾雖然可以使用 logrotate 的配置文件來解決
登錄檔服務器的設定
讓某一部主機當成 『登錄文件朋務器』，用他來記錄所有的linux 主機信息;這樣既備份了各主機的登陸檔，也方便查看每一部主機的登陸檔；
CentOS 5.x 預設的 syslog 本身就已經具有這個登錄文件服務器的功能了， 只是默認并沒有啟動該功能而已。你可以透過 man syslogd 去查詢一下相關的選項就能夠知道啦！ 既然是登錄檔服務器，那么我們的 Linux 主機當然會啟動一個端口來監(jiān)聽了，那個預設的端口就是 UDP 的 514 ；
如上圖所示，服務器會啟動監(jiān)聽的端口，客戶端則將登錄檔再轉出一份送到服務器去。 而既然是登錄檔『服務器』，所以當然有服務器與客戶端 (client) 啰！這兩者的設定分別是這樣的：
# 1. Server 端：修改 syslogd 的啟動配置文件，通常在 /etc/sysconfig 內！
[root@www ~]# vim /etc/sysconfig/syslog
# 找到底下這一行：
SYSLOGD_OPTIONS="-m 0"
# 改成底下這樣子！
SYSLOGD_OPTIONS="-m 0 -r"
# 2. 重新啟動與觀察 syslogd 喔！
[root@www ~]# /etc/init.d/syslog restart
[root@www ~]# netstat -lunp | grep syslog
Proto Recv-Q Send-Q Local Address Foreign Address State
PID/Program name
udp 0 0 0.0.0.0:514 0.0.0.0:* 13981/syslogd
# 嘿嘿！你的登錄文件主機已經設定妥當啰！很簡單吧！
client 端的設定就簡單多了！只要指定某個信息傳送到這部主機即可！ 舉例來說，我們的登錄檔服務器 IP 為192.168.1.100 ，而 client 端希望所有的數(shù)據(jù)都送給主機， 所以，可以在 /etc/syslog.conf 里面新增這樣的一行：
[root@www ~]# vim /etc/syslog.conf
*.* @192.168.1.100
再重啟syslogd這個服務就可以了；
logrotate
登錄檔的輪替
在規(guī)定的時間到了之后才來進行登錄檔的輪替，所以當然是掛在cron底下的；
logrotate 的配置文件
? /etc/logrotate.conf
? /etc/logrotate.d/
logrotate.conf 才是主要的參數(shù)檔案，至于 logrotate.d 是一個目錄， 該目錄里面的所有檔案都會被主動的讀入 /etc/logrotate.conf 當中來進行！另外，在 /etc/logrotate.d/ 里面的檔案中，如果沒有規(guī)定到的一些細部設定，則以 /etc/logrotate.conf 這個檔案的規(guī)定來設定為默認值
logrotate 的主要功能就是將舊的登錄檔案移動成舊檔， 并且重新建立一個新的空的檔案來記錄，他的執(zhí)行結果有點類似底下的圖示：
如果遇到 chattr +a 的文檔則在 配置文檔中加入指令的具體參數(shù)如下：
o prerotate：在啟動 logrotate 之前進行的指令，例如修改登錄文件的屬性等動作；
o postrotate：在做完 logrotate 之后啟動的指令，例如重新啟動 (kill -HUP) 某個服務！
o Prerotate 與 postrotate 對與已加上特殊屬性的檔案處理上面，是相當重要的執(zhí)行程序！
當然也可以將自定義文檔設置自動輪替功能；
logwatch
分析登錄檔程序
鳥哥寫的登錄檔分析工具：
這支程序分析的登錄文件數(shù)據(jù)其實是固定的，包括有：
? /var/log/secure
? /var/log/messages
? /var/log/maillog
還有包括各個主要常見的服務，如 pop3, mail, ftp, su 等會使用到 pam 的服務， 都可以透過鳥哥這個小程序來分析與處理～整個數(shù)據(jù)還會輸出一些系統(tǒng)信息。如果你想要使用這個程序的話， 歡迎下載：
? http://linux.vbird.org/download/index.php?action=detail&fileid=69
安裝的方法：只要將上述檔案下載并解壓縮后，就會得到一個名為 logfile 的目錄， 將此目錄移動到/usr/local/virus/ 目錄下并修改一下： /usr/local/virus/logfile.sh 檔案， 里面的 email相關的信息要修改一下
總結
- 服務兩大類
- stand_alone
- 獨自啟動，加載到內存后一直占用資源
- 如httpd,vsftpd
- 服務的啟動，狀態(tài)
- /etc/init.d/atd start/restart/stop
- service --status-all 服務名（atd）
- chkconfig,管理系統(tǒng)服務默認開機與否
- chkconfig --list [服務名稱]
- chkconfig [--level [0123456]] [服務名稱] [on|off]
- 增加或刪除一個服務讓chkconfig管理
- chkconfig [--add|--del] [服務名稱]
- 將自己的服務交給chkconfig管理
- 在 /etc/init.d 建立自己服務腳本 如my
- 將my添加到chkconfig中
- chkconfig等級說明
- 0：表示關機
- 1：單用戶模式
- 2：無網絡連接的多用戶命令行模式
- 3：有網絡連接的多用戶命令行模式
- 4：不可用
- 5：帶圖形界面的多用戶模式
- 6：重新啟動
- super daemon
- super daemon 負責喚醒其他服務，相當于一個服務管理員
- 客戶端請求時，super daemon 才會去喚醒想要服務，如Telnet請求
- 服務必須在super daemon（/etc/xinetd.d）配置文件中設定啟動該服務才行,如配置Telnet 則在/etc/xinetd.d/telnet
- super daemon 的服務是/etc/xinetd.d
- 服務的防火墻管理
- 簡單來說就是針對來源IP或網域或封包請求進行允許或拒絕；
- Linux默認封包過濾
- /etc/hosts.deny,/etc/hosts.allow
- 管理程序接受或拒絕來自互聯(lián)網的聯(lián)機
- 任何以super daemon 即 使用xinetd管理的服務都可以用這個配置文件來設定防火墻
- 配置文件運行規(guī)則
- 先檢查deny，再檢查allow，allow可以越過deny的限制；
- 所以deny，allow都沒有的是可以予以放行的。
- 與/etc/at.allow 的/etc/at.deny原理區(qū)別
- /etc/at.allow 存在則以它為準，不存在才參照/etc/at.deny；兩文件都沒有，就只有root能使用。
- /etc/hosts.deny與/etc/hosts.allow都需存在且都會檢測到。先deny，在allow兩者有沖突，以allow為準；IP不存在兩個文件中，則會放行的；
- TCP Wrappers
- 可用于追蹤
- safe_finger追蹤對方主機的信息
- twist，spawn(action),接shell進行額外工作
- 管控
- 同樣是利用/etc/hosts.deny /etc/hosts.allow,且服務也應該是super daemon 服務。
- 認識與分析登錄檔
- 簡單來說就是記錄系統(tǒng)在什么時候由那個程序做了什么樣的行為，發(fā)生了何種事情
- 常見登錄檔名
- /var/log/cron crontab相關信息
- /var/log/dmesg 開機時核心偵測過程所產生的信息
- /var/log/lastlog 系統(tǒng)所有賬號最近一次登錄系統(tǒng)時的相關信息
- /var/log/maillog 郵件往來信息
- /var/log/messages 相當重要，系統(tǒng)發(fā)生錯誤都會記錄；包括服務運行不順等等。
- /var/log/secure 涉及到需要輸入賬號密碼的軟件，正確或錯誤都會記錄，如su ,sudo ,ssh,telnet,等等；
- 產生登錄檔的服務syslogd,klogd(核心信息登錄文件)
- logrotate
- 登錄檔的安全性設置
- 設置隱藏屬性，設置成只能增加，不能刪除的屬性
- lsatter,chattr
- chattr +a /var/log/messages
- 注意：syslog的登錄檔只要被編輯過，如vim查看以：wq離開就無法記錄；需要重新啟動syslog服務才能繼續(xù)記錄；
- 登錄檔服務器的設定
- 讓某部主機當成登錄檔服務器，用他來記錄所有的Linux主機信息，這樣既備份了個主機的登錄檔，也方便查看每一部主機的登錄檔。
