[root@linux ~]# cat /var/log/secure
Oct 16 10:16:13 linux sshd[3494]: Accepted password for dmtsai from 
192.168.1.11 port 1037 ssh2
Oct 16 10:20:15 linux xinetd[21592]: START: shell pid=4176 from=192.168.1.31
Oct 16 14:50:25 linux sshd[26665]: Accepted password for dmtsai from 
192.168.1.11 port 1078 ssh2
Oct 16 19:56:06 linux xinetd[20576]: START: shell pid=21013 from=192.168.1.31

服務名稱[.=!]訊息等級		訊息記錄的檔名或裝置或主機
# 例如底下：
mail.info			/var/log/maillog_info

# 來自 Fedora Core Release 4 的相關資料
[root@linux ~]# vi /etc/syslog.conf
#kern.*                                    /dev/console
# 只要是 kernel 產生的訊息，全部都送到 console 去！
# 這個項目預設是關閉的！不過，只要您願意，可以開啟就是了！

*.info;mail.none;authpriv.none;cron.none   /var/log/messages
# 在已知各服務的訊息中，不要記錄到這個檔案當中啦！
# 例如 mail 我們已經預設要記錄在 /var/log/maillog （底下），
# 所以自然不要在記錄 mail 到這個 /var/log/messages 檔案中啦！ 
# 然後其他的訊息全部都記錄到 /var/log/messages 當中！
# 所以這個檔案相當的重要！沒有被規定到的訊息都可以在這裡找到！

authpriv.*                                 /var/log/secure
# 這個就是經過一些身份確認的行為之後，需要記錄身份的檔案啦！
# 什麼是身份確認呢？例如 pop3 收信要輸入帳號與密碼、 ssh 與 telnet, ftp 
# 等等的服務需要輸入帳號與密碼，這些都會在 /var/log/secure 裡面記錄！
# 他可也是相當重要的一個檔案呢！

mail.*                                     -/var/log/maillog
# 只要跟 mail 有關的（不論是 pop3 還是 sendmail ）都會被紀錄到這個檔案中！

cron.*                                     /var/log/cron
# 還記得例行性命令那一章節嗎？！對啦！就是那個 crontab 的東西，
# 那東西的服務程式名稱就是 cron 啦！執行 cron 的結果都記錄於此！

*.emerg                                    *
# 任何時候發生的警告訊息都會顯示給線上的所有人！那個 ＊ 就是目前線上的所有人啦！
# 這個就是利用 wall 之類的方式傳輸訊息的啊！

uucp,news.crit                             /var/log/spooler
# 記錄新聞錯誤高於 crit 的等級的資訊，寫入 spooler 當中！

local7.*                                   /var/log/boot.log
# 將開機的當中的訊息給他寫入 /var/log/boot.log 這個檔案當中呦！ 

# 來自 Mandrake 9.0 的 syslog.conf 內容
[root@linux ~]# vi /etc/syslog.conf
auth,authpriv.*                                /var/log/auth.log
*.*;auth,authpriv.none                        -/var/log/syslog
user.*                                        -/var/log/user.log
*.info;mail.none;;news.none;authpriv.none     -/var/log/messages
Authpriv.*                                     /var/log/secure
mail.=debug;mail.=info;mail.=notice           -/var/log/mail/info
mail.=warn                                    -/var/log/mail/warnings
mail.err                                      -/var/log/mail/errors
cron.=debug;cron.=info;cron.=notice           -/var/log/cron/info
cron.=warn                                    -/var/log/cron/warnings
cron.err                                      -/var/log/cron/errors
kern.=debug;kern.=info;kern.=notice           -/var/log/kernel/info
kern.=warn                                    -/var/log/kernel/warnings
kern.err                                       /var/log/kernel/errors
lpr.=debug;lpr.=info;lpr.=notice              -/var/log/lpr/info
lpr.=warn                                     -/var/log/lpr/warnings
lpr.err                                       -/var/log/lpr/errors
news.=debug;news.=info;news.=notice           -/var/log/news/news.notice
news.=crit                                    -/var/log/news/news.crit
news.=err                                     -/var/log/news/news.err
Daemon.=debug;daemon.=info;daemon.=notice     -/var/log/daemons/info
Daemon.=debug;daemon.=info;daemon.=notice     -/var/log/daemons/info
Daemon.=warn                                  -/var/log/daemons/warnings
Daemon.err                                    -/var/log/daemons/errors
*.emerg                                       *
Local1.*                                      -/var/log/explanations

# 1. 先設定好所要建立的檔案設置！
[root@linux ~]# vi /etc/syslog.conf
*.info          /var/log/admin.log

# 2. 重新啟動 syslog 呢！
[root@linux ~]# /etc/init.d/syslog restart
[root@linux ~]# ll /var/log/admin.log
-rw-------  1 root root 122 Oct 23 22:21 /var/log/admin.log
# 瞧吧！建立了這個檔案出現囉！

[root@linux ~]# chattr +a /var/log/messages
[root@linux ~]# lsattr /var/log/messages
-----a------- /var/log/messages

[root@linux ~]# chattr -a /var/log/messages

# 1. 先取得 port number 的資訊！
[root@linux ~]# grep 514 /etc/services
syslog          514/udp
# 特別特別注意，你的 /etc/services 裡面必須要存在這一行才行∼
# 如果不存在這一行，你可以手動自行增加的！

# 2. 修改 syslogd 的啟動設定檔，通常在 /etc/sysconfig 內！
[root@linux ~]# vi /etc/sysconfig/syslog
# 找到底下這一行：
SYSLOGD_OPTIONS="-m 0"
# 改成底下這樣子！
SYSLOGD_OPTIONS="-m 0 -r"

# 3. 重新啟動與觀察 syslogd 喔！
[root@linux ~]# /etc/init.d/syslog restart
[root@linux ~]# netstat -tlunp
Proto Recv-Q Send-Q Local Address Foreign Address State  PID/Program name
udp   0      0      0.0.0.0:514   0.0.0.0:*              24314/syslogd
# 嘿嘿！你的登錄檔主機已經設定妥當囉！很簡單吧！

[root@linux ~]# vi /etc/syslog.conf
*.*       @192.168.1.100

[root@linux ~]# vi /etc/logrotate.conf
# 底下的設定是 "logrotate 的預設設定值" ，如果個別的檔案設定了其他的參數，
# 那麼將以個別的檔案設定為主，若該檔案沒有設定到的參數，
# 則以這個檔案的內容為預設值！

weekly
# 預設每個禮拜對登錄檔進行一次 rotate 的工作

rotate 4
# 保留幾個登錄檔呢？預設是保留四個！

create
# 是否建立新的登錄檔來記錄呢？因為我們要繼續記錄，所以當然是建立囉！

#compress
# rotate 之後的登錄檔，要不要壓縮，通常是不要壓縮啦，但是如果你的系統很忙碌，
# 表示你的登錄檔很龐大的時候，那麼最好就是給他壓縮一下比較不會佔空間！
# 如果要壓縮，將 # 拿掉即可！不過，登錄檔副檔名會變成 messages.1.gz 喔！

include /etc/logrotate.d
# 將底下這個目錄中的所有檔案都讀進來執行 rotate 的工作！

/var/log/wtmp {
    monthly
    create 0664 root utmp
    rotate 1
}
# 基本上，在 logrotate.conf 檔案當中，只有這個資料是在記載如何對登錄檔進行輪替的！
# 這個登錄檔記載的就是使用 login 登入系統時的使用者狀態，還記得那個 last 指令吧？
# 就是讀自 /var/log/wtmp 當中記錄的資料啦！整個段落的意義是：
# 1. 每個月進行一次 log rotate 的工作； 
# 2. 將檔案的權限設定為 664 ，且擁有者為 root ，群組為 utmp； 
# 3. 僅保存前一個月的 rotate 備份！
# 這也是為什麼我們說 last 只會秀出這個月的資料而已的原因∼因為一個月輪替一次嘛！
# 這個 rotate 可以改大一點，例如 5 以保存五個月，以利追蹤 

/var/log/btmp {
    missingok
    monthly
    create 0600 root utmp
    rotate 1
}
# 這個跟 wtmp 類似！

[root@linux ~]# vi /etc/logrotate.d/syslog
/var/log/messages /var/log/secure /var/log/maillog /var/log/spooler 
/var/log/boot.log /var/log/cron {
    sharedscripts
    postrotate
        /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
    endscript
}
# 亦即是這樣的格式啦！
# 登錄檔的絕對路徑檔名 {
# 	各項基本上設定值
# }

[root@linux ~]# vi /etc/logrotate.d/syslog
/var/log/messages /var/log/secure /var/log/maillog /var/log/spooler 
/var/log/boot.log /var/log/cron {
    sharedscripts
    prerotate
	/usr/bin/chattr -a /var/log/messages
    endscript
    sharedscripts
    postrotate
        /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
	/usr/bin/chattr +a /var/log/messages
    endscript
}

[root@linux ~]# logrotate [-vf] logfile
參數：
-v  ：啟動顯示模式，會顯示 logrotate 運作的過程喔！
-f  ：不論是否符合設定檔的資料，強制每個登錄檔都進行 rotate 的動作！
範例：

範例一：執行一次 logrotate 看看整個流程為何？
[root@linux ~]# logrotate -v /etc/logrotate.conf
reading config file /etc/logrotate.conf
including /etc/logrotate.d
reading config file acpid
reading config info for /var/log/acpid
.....(中間省略).....
rotating pattern: /var/log/btmp  monthly (1 rotations)
empty log files are rotated, old logs are removed
considering log /var/log/btmp
  log does not need rotating

範例二：強制進行 logrotate 的動作
[root@linux ~]# logrotate -vf /etc/logrotate.conf
.....(前面省略).....
rotating pattern: /var/log/wtmp  forced from command line (1 rotations)
empty log files are rotated, old logs are removed
considering log /var/log/wtmp
  log needs rotating
rotating log /var/log/wtmp, log->rotateCount is 1
renaming /var/log/wtmp.1 to /var/log/wtmp.2 (rotatecount 1, logstart 1, i 1),
renaming /var/log/wtmp.0 to /var/log/wtmp.1 (rotatecount 1, logstart 1, i 0),
old log /var/log/wtmp.0 does not exist
renaming /var/log/wtmp to /var/log/wtmp.1
creating new log mode = 0664 uid = 0 gid = 22
removing old log /var/log/wtmp.2
# 看到否？整個 rotate 的動作就是這樣一步一步進行的∼

# 1. 先建立 +a 這個屬性啊！
[root@linux ~]# chattr +a /var/log/admin.log
[root@linux ~]# lsattr /var/log/admin.log
-----a------- /var/log/admin.log
[root@linux ~]# mv /var/log/admin.log /var/log/admin.log.1
mv: cannot move '/var/log/admin.log' to '/var/log/admin.log.1':permission deny

# 2. 開始建立 logrotate 的設定檔，增加一個檔案在 /etc/logrotate.d 內就對了！
[root@linux ~]# vi /etc/logrotate.d/admin
# This configuration is from VBird 2005/10/24
/var/log/admin.log {
        monthly
        size=10M
        rotate 5
        nocompress
        sharedscripts
        prerotate
                /usr/bin/chattr -a /var/log/admin.log
        endscript
        sharedscripts
        postrotate
                /usr/bin/killall -HUP syslogd
                /usr/bin/chattr +a /var/log/admin.log
        endscript
}

# 3. 測試一下 logrotate 相關功能的資訊顯示：
[root@linux ~]# logrotate -v /etc/logrotate.conf
.....(前面省略).....
rotating pattern: /var/log/admin.log  10485760 bytes (5 rotations)
empty log files are rotated, old logs are removed
considering log /var/log/admin.log
  log does not need rotating
not running shared prerotate script, since no logs will be rotated
.....(底下省略).....

# 4. 測試一下強制 logrotate 與相關功能的資訊顯示：
[root@linux ~]# logrotate -vf /etc/logrotate.d/admin
reading config file /etc/logrotate.d/admin
reading config info for /var/log/admin.log

Handling 1 logs

rotating pattern: /var/log/admin.log  forced from command line (5 rotations)
empty log files are rotated, old logs are removed
considering log /var/log/admin.log
  log needs rotating
running shared prerotate script
rotating log /var/log/admin.log, log->rotateCount is 5
....(中間省略)....
renaming /var/log/admin.log.0 to /var/log/admin.log.1 (rotatecount 5, logstart 1, i 0),
old log /var/log/admin.log.0 does not exist
log /var/log/admin.log.6 doesn't exist -- won't try to dispose of it
renaming /var/log/admin.log to /var/log/admin.log.1
running shared postrotate script

[root@linux ~]# lsattr /var/log/admin.log*
-----a------- /var/log/admin.log
------------- /var/log/admin.log.1

##########################################################
歡迎使用本程式來查驗您的登錄檔
本程式目前版本為： Version 0.1-1
程式最後更新日期為： 2005-01-09
若在您的系統中發現本程式有問題, 歡迎與我聯絡！
鳥哥的首頁 http://linux.vbird.org
問題回報： http://phorum.vbird.org/viewtopic.php?t=3425
##########################################################
 
=============== 系統彙整 =================================
核心版本  : Linux version 2.6.12-1.1456_FC4 (bhcompile@tweety.build.redhat.com)
CPU 資訊  : Pentium III (Coppermine)
         : 997.519 MHz
主機名稱  : localhost.localdomain
統計日期  : 2005/October/24 00:10:02 ( Monday )
分析的日期: Oct 23
已開機期間: 26 days, 1:02,
目前主機掛載的 partitions
      Filesystem            Size  Used Avail Use% Mounted on
      /dev/hda1             5.7G  3.3G  2.2G  61% /
      /dev/shm              189M     0  189M   0% /dev/shm


================= Ports 的相關分析資訊 =======================
主機啟用的 port 與相關的 process owner：
僅對本機介面開放的 ports (PID|owner|command)
      tcp 25|(root)|/usr/libexec/postfix/master
對外部介面開放的 ports (PID|owner|command)
      tcp 22|(root)|/usr/sbin/sshd
      udp 68|(root)|/sbin/dhclient -1 -q -cf /etc/dhclient-eth1.conf -lf /var/l

================= SSH 的登錄檔資訊彙整 =======================
一共成功登入的次數：         3
      帳號       來源位址        次數
      dmtsai2    192.168.1.51      3

以 su 轉換成 root 的使用者及次數
      帳號                       次數
      (uid=530)                   1


================= POP3 的登錄檔資訊彙整 ======================
今日沒有使用 POP3 的紀錄


================= Postfix 的登錄檔資訊彙整 ===================
使用者信箱受信次數：