CentOS 预设提供的 logwatch
不过，要了解系统的状态，还是得要分析整个登录档才行~ 事实上， 目前已经有相当多的登录档分析工具，例如 CentOS 7.x 上面预设的 logwatch 这个套件所提供的分 析工具， 他会每天分析一次登录文件，并且将数据以 email 的格式寄送给 root 呢!
安装完毕以后，logwatch 就已经写入 cron 的运作当中了!详细的执行方式你可以参考上表中 0logwatch 文件内容来处理，未来则每天会送出一封 email 给 root 查阅就是了。因为我们刚刚安装， 那可以来分析一下吗?很简单啦!你就直接执行 0logwatch 即可啊!
[root@study ~]# mail
Heirloom Mail version 12.5 7/5/10. Type ? for help.
"/var/spool/mail/root": 5 messages 2 new 4 unread
>N 4 root Thu Jul 30 19:35 29/763 "testing at job"
N 5 logwatch@study.cento Thu Aug 20 17:55 97/3045 "Logwatch for study.centos.vbird (Linux)"
& 5
Message 5:
From root@study.centos.vbird Thu Aug 20 17:55:23 2015
Return-Path: <root@study.centos.vbird>
X-Original-To: root
Delivered-To: root@study.centos.vbird
To: root@study.centos.vbird
From: logwatch@study.centos.vbird
Subject: Logwatch for study.centos.vbird (Linux)
Auto-Submitted: auto-generated
Precedence: bulk
Content-Type: text/plain; charset="iso-8859-1"
Date: Thu, 20 Aug 2015 17:55:23 +0800 (CST)
Status: R
# logwatch 会先说明分析的时间与 logwatch 版本等等信息
################### Logwatch 7.4.0 (03/01/11) ####################
Processing Initiated: Thu Aug 20 17:55:23 2015
Date Range Processed: yesterday
( 2015-Aug-19 )
Period is day.
Detail Level of Output: 0
Type of Output/Format: mail / text
Logfiles for Host: study.centos.vbird
##################################################################
# 开始一项一项的数据进行分析!分析得很有道理啊!
--------------------- pam_unix Begin ------------------------
su-l:
Sessions Opened:
dmtsai -> root: 2 Time(s)
---------------------- pam_unix End -------------------------
--------------------- Postfix Begin ------------------------
894 Bytes accepted 894
894 Bytes delivered 894
======== ==================================================
2 Accepted 100.00%
-------- --------------------------------------------------
2 Total 100.00%
======== ==================================================
2 Removed from queue
2 Delivered
---------------------- Postfix End -------------------------
--------------------- SSHD Begin ------------------------
Users logging in through sshd:
dmtsai:
192.168.1.200: 2 times
Received disconnect:
11: disconnected by user : 1 Time(s)
---------------------- SSHD End -------------------------
--------------------- Sudo (secure-log) Begin ------------------------
dmtsai => root
--------------
/bin/su - 2 Time(s).
---------------------- Sudo (secure-log) End -------------------------
# 当然也得说明一下目前系统的磁盘使用状态喔!
--------------------- Disk Space Begin ------------------------
Filesystem Size Used Avail Use% Mounted on
/dev/mapper/centos-root 10G 3.7G 6.3G 37% /
devtmpfs 1.4G 0 1.4G 0% /dev
/dev/vda2 1014M 141M 874M 14% /boot
/dev/vda4 1014M 33M 982M 4% /srv/myproject
/dev/mapper/centos-home 5.0G 642M 4.4G 13% /home
/dev/mapper/raidvg-raidlv 1.5G 33M 1.5G 3% /srv/raidlvm
---------------------- Disk Space End -------------------------
鸟哥自己写的登录档分析工具:
虽然已经有了类似 logwatch 的工具，但是鸟哥自己想要分析的数据毕竟与对方不同~所以啰，鸟哥 就自己写了一支小程序 (shell script 的语法) 用来分析自己的登录文件，这支程序分析的登录文件主 要由 journalctl 所产生，而且只会抓前一天的登录档来分析而已~ 若比对 rsyslog.service 所产生的 登录档，则主要用到底下几个对应的档名
- /var/log/secure
- /var/log/messages
- /var/log/maillog
当然啦，还不只这些啦，包括各个主要常见的服务，如 pop3, mail, ftp, su 等会使用到 pam 的服务， 都可以透过鸟哥写的这个小程序来分析与处理呢~整个数据还会输出一些系统信息。如果你想要使用 这个程序的话， 欢迎下载:
使用的登录档真的是来自于 journalctl ，所以 CentOS 6 以前的版本千万不要使用喔!现在假设我将 下载的文件放在跟目录，所以:
[root@study ~]# tar -zxvf /logfile_centos7.tar.gz -C /
[root@study ~]# cat /etc/cron.d/vbirdlogfile
10 0 * * * root /bin/bash /root/bin/logfile/logfile.sh &> /dev/null
[root@study ~]# sh /root/bin/logfile/logfile.sh
# 开始尝试分析系统的登录文件，依据你的登录档大小，分析的时间不固定!
[root@study ~]# mail
# 自己找到刚刚输出的结果，该结果的输出有点像底下这样:
Heirloom Mail version 12.5 7/5/10. Type ? for help.
"/var/spool/mail/root": 9 messages 4 new 7 unread
N 8 root Thu Aug 20 19:26 60/2653 "study.centos.vbird logfile analysis results"
>N 9 root Thu Aug 20 19:37 59/2612 "study.centos.vbird logfile analysis results"
& 9
# 先看看你的硬件与操作系统的相关情况，尤其是 partition 的使用量更需要随时注意!
=============== system summary =================================
Linux kernel : Linux version 3.10.0-229.el7.x86_64 (builder@kbuilder.dev.centos.org)
CPU informatin: 2 Intel(R) Xeon(R) CPU E5-2650 v3 @ 2.30GHz
CPU speed : 2299.996 MHz
hostname is : study.centos.vbird
Network IP : 192.168.1.100
Check time : 2015/August/20 19:37:25 ( Thursday )
Summary date : Aug 20
Up times : 3 days, 59 min,
Filesystem summary:
Filesystem Type Size Used Avail Use% Mounted on
/dev/mapper/centos-root xfs 10G 3.7G 6.3G 37% /
devtmpfs devtmpfs 1.4G 0 1.4G 0% /dev
tmpfs tmpfs 1.4G 48K 1.4G 1% /dev/shm
tmpfs tmpfs 1.4G 8.7M 1.4G 1% /run
tmpfs tmpfs 1.4G 0 1.4G 0% /sys/fs/cgroup
/dev/vda2 xfs 1014M 141M 874M 14% /boot
/dev/vda4 xfs 1014M 33M 982M 4% /srv/myproject
/dev/mapper/centos-home xfs 5.0G 642M 4.4G 13% /home
/dev/mapper/raidvg-raidlv xfs 1.5G 33M 1.5G 3% /srv/raidlvm
/dev/sr0 iso9660 7.1G 7.1G 0 100% /mnt
# 这个程序会将针对 internet 与内部监听的端口口分开来显示!
================= Ports 的相關分析資訊 =======================
主機啟用的 port 與相關的 process owner：
對外部介面開放的 ports (PID|owner|command)
tcp 21|(root)|/usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf
tcp 22|(root)|/usr/sbin/sshd -D
tcp 25|(root)|/usr/libexec/postfix/master -w
tcp 222|(root)|/usr/sbin/sshd -f /etc/ssh/sshd2_config -D
tcp 514|(root)|/usr/sbin/rsyslogd -n
tcp 555|(root)|/usr/sbin/vsftpd /etc/vsftpd/vsftpd2.conf
# 以下针对有启动的服务个别进行分析!
================= SSH 的登录文件信息汇整 =======================
今日没有使用 SSH 的纪录
================= Postfix 的登录文件信息汇整 ===================
使用者信箱受信次数: