应急响应之日志分析信息安全资料.pdfVIP

之前已经简单整理了应急响应中定位系统异常行为的常见命令，接下来简单整理下linux下

的日志文件。

一、日志类型

内核及系统日志：这种日志由syslog统一管理，根据其主配置文件/etc/syslog.conf中的设置

决定将内核消息及各种系统程序消息记录到什么位置。

用户日志：这种日志数据用于记录Linux系统用户登录及退出系统的相关信息，包括用户名、

登录的终端、登录时间、来源主机、正在使用的进程操作等。

程序日志：有些应用程序运会选择自己来独立管理一份日志文件（而不是交给syslog服务管

理），用于记录本程序运行过程中的各种事件信息。由于这些程序只负责管理自己的日志文

件，因此不同的程序所使用的日志记录格式可能会存在极大差异。

通过查看/etc/rsyslog.conf，可查看相关系统日志配置情况。

linux系统日志一般存放在/var/log/目录下。

对于Linux系统中的一些常见日志文件，有必要熟悉其相应的用途，这样才能在需要的时候

更快地找到问题所在，及时解决各种故障。

/var/log/messages：记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、

网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该文件

获得相关的事件记录信息。

/var/log/cron：记录cr