3.2.1 系统日志简介

日志可以分为3类：系统日志、用户日志和程序日志。不同类型的Linux系统对各日志存放路径及文件名不尽相同，对于Ubuntu和CentOS系统默认将生成的日志保存在/var/log目录下。除了系统日志外，RPM包安装的系统服务也会默认把日志记录放在/var/log/目录下，但这些并不由rsyslogd服务管理，而由各个服务自身的日志管理文档来记录。Linux系统的默认日志及其功能如表3-8所示。

wtmp日志文件用于记录每个用户登录、注销及系统的启动、停机事件，可以利用它来查看用户登录系统记录的信息，执行如下命令，结果如图3-32所示。

btmp日志文件用于记录远程登录系统失败的信息，记录了SSH协议远程登录系统的用户名、协议类型、登录时间、IP地址等信息，执行如下命令，结果如图3-33所示。

dmesg日志文件用于记录与系统启动相关的内核缓冲信息，它显示系统启动时与硬件有关的信息，执行如下命令，结果如图3-34所示。

cron日志文件用于记录计划任务产生的事件信息，记录了定时任务执行的开始时间、结束时间、定时执行周期、执行的用户权限等。执行如下命令，结果如图3-35所示。

secure日志或auth日志通常用于记录用户认证相关的安全事件信息，在RedHat和CentOS系统记录用户认证相关的信息通常存储在/var/log/secure目录日志中，而Ubuntu和Debian系统记录用户认证相关的信息通常存储在/var/log/auth.log目录日志中。如图3-36所示，secure日志记录用户通过SSH协议登录成功和登录失败的时间、用户名、UID等信息。