計算機領域術語計算機系統(tǒng)日志01概念Windows系統(tǒng)特點Linux目錄030204基本信息計算機系統(tǒng)日志：在現(xiàn)代社會里，為了維護自身系統(tǒng)資源的運行狀況，計算機系統(tǒng)一般都會有相應的日志記錄系統(tǒng)有關日常事件或者誤操作警報的日期及時間戳信息。這些日志信息對計算機犯罪調查人員非常有用。但計算機日記是按正常工作狀態(tài)記錄的，所以冗余量很大，對查找與分析有用信息造成很大困難。概念概念所謂日志（Log）是指系統(tǒng)所指定對象的某些操作和其操作結果按時間有序的集合。每個日志文件由日志記錄組成，每條日志記錄描述了一次單獨的系統(tǒng)事件。通常情況下，系統(tǒng)日志是用戶可以直接閱讀的文本文件，其中包含了一個時間戳和一個信息或者子系統(tǒng)所特有的其他信息。日志文件為服務器、工作站、防火墻和應用軟件等IT資源相關活動記錄必要的、有價值的信息，這對系統(tǒng)監(jiān)控、查詢、報表和安全審計是十分重要的。日志文件中的記錄可提供以下用途：監(jiān)控系統(tǒng)資源；審計用戶行為；對可疑行為進行告警；確定入侵行為的范圍；為恢復系統(tǒng)提供幫助；生成調查報告；為打擊計算機犯罪提供證據(jù)來源。系統(tǒng)特點系統(tǒng)特點日志記錄著系統(tǒng)中特定事件的相關活動信息，從計算機取證角度看，日志主要有以下特點：不易讀懂雖然大部分系統(tǒng)的日志都以文本的形式記錄，但由于各系統(tǒng)日志格式不一致，不熟悉各類日志格式就很難獲取有用的信息。同時有相當部分應用系統(tǒng)并不采用文本格式記錄著日志信息，必須借助專用的工具分析這些日志，否則很難讀懂其中的日志信息。數(shù)據(jù)量大通常對外服務產生的日志文件如Web服務日志、防火墻、入侵檢測系統(tǒng)日志和數(shù)據(jù)庫日志以及各類服務器日志等都很大，一個日志文件一天產生的容量少則幾十兆、幾百兆，多則有幾個G，幾十個G，這使得獲取和分析日志信息變得很困難。不易獲取由于絡中不同的操作系統(tǒng)、應用軟件、絡設備和服務產生不同的日志文件，即使相同的服務如IIS也可采用不同格式的日志文件記錄日志信息。國際上還沒有形成標準的日志格式，各系統(tǒng)開發(fā)商和絡設備生產商往往根據(jù)各自的需要制定自己的日志格式，使得不同系統(tǒng)的日志格式和存儲方式有所差別。WindowsWindows以Windows2000/XP為例，日志文件通常有應用程序日志，安全日志、系統(tǒng)日志、DNS服務器日志、FTP日志、WWW日志等等。日志文件默認位置：應用程序日志、安全日志、系統(tǒng)日志、DNS日志默認位置：%systemroot%\system32\config，默認文件大小512KB，管理員都會改變這個默認大小。安全日志文件：%systemroot%\system32\config\SecEvent.EVT系統(tǒng)日志文件：%systemroot%\system32\config\SysEvent.EVT應用程序日志：%systemroot%\system32\config\AppEvent.EVTInternet信息服務FTP日志默認位置：%systemroot%\system32\logfiles\msftpsvc1\默認每天一個日志Internet信息服務WWW日志默認位置：%systemroot%\system32\logfiles\w3svc1\默認每天一個日志Scheduler服務日志默認位置：%systemroot%\schedlgu.Linux常識接收遠程logrotate常見指令Linux常識#psaux|grepsyslog#chkconfig--list|grepsyslog#cat/var/log/secure/etc/syslog.conf哪些服務產生的哪些等級訊息記錄到哪里記錄到相同地方的多個訊息源用分號間隔vi/etc/syslog.conf接收遠程#grep514/etc/servicessyslog514/udpvi/etc/sysconfig/syslog#將SYSLOGD_OPTIONS="-m0"#改成SYSLOGD_OPTIONS="-m0-r"/etc/init.d/syslogrestart[root@linux~]#netstat-tlunpProtoRecv-QSend-QLocalAddressForeignAddressStatePID/Programnameudp00:514:/syslogd對應clientlogrotate/etc/logrotate.conf/etc/logrotate.d/logrotate.conf才是主要配置文件，而/logrotate.d/這個目錄內的所有文件都被讀入/etc/logrotate.conf來執(zhí)行！如果在/etc/logrotate.d/目錄文件中，沒有相應的細節(jié)設定則以/etc/logrotate.conf設定為缺省值！vi/etc/logrotate.d/syslog/var/log/messages/var/log/secure/var/log/maillog/var/log/spooler/var/log/boot.log/var/log/cron{sharedscriptspostrotate/bin/kill-HUP`cat/var/run/syslogd.常見指令#dmesg|more讀/var/log/boot.logdmesg|grep'eth'#last-nnumber[root@linux~]#last-ffilename-n：number-f：last預設值為讀/var/log/wtmp文檔，而-f讀取不同的文檔#last-n5-f/var/log/wtmp.1dmtsai2pts/2MonOct2414:18-14:18(00:00)dmtsai2work:0workMonOc