analiza logów systemowych


UruchamianieREKLAMA
Wraz z instalacjąpakietu w katalogu /etc/cron-daily/ zosta-
je umieszczony plik o nazwie00-logwatch. Właściwie
jest tołącze symboliczne prowadzące do pliku /etc/log.d/
scripts/logwatch.pl. Dzięki temu, demon Cron będzie dbał
o codzienne uruchamianie programuLogWatch. Listy e-mail
z wynikamidziałania filtrówbędą wysyłane nakonto okre-
ślone w pliku /etc/log.d/logwatch.confw zmiennej MailTo.
Nie jest to jedyna metoda uruchomieniaprogramu. Jeśli
potrzebujemy w danejchwili wyniku działania konkret-
negofiltru,możemyuruchomić LogWatch z lini poleceń.
Wywołanie polecenia logwatch bez parametrów spowoduje
użycie domyślnych opcji ustawionych w pliku konfigura-
cyjnym.Zależnie od tego, co chcemy osiągnąć, możemy
jednakwykorzystać różne parametry. Przykładowo, jeśli
chcemy sprawdzićkomunikaty demona init (np. ozmianie
poziomu runlevel), możemy użyć polecenia:

logwatch -detail high -archives -service initS
-range al -print


Poniżejnagłówka informującego o dacie iwarunkach
wykonywaniaraportu, w sekcji zamkniętej liniami Init
Begini InitEndznajdziemy wynik działaniafiltru. Może
mieć on postać:

Entered or switched to runlevel 0: 2 Time(s)
Entered or switched to runlevel 6: 34 Time(s)


Jak widać, zestawienie to informuje nas, że dwukrotnie
systemprzechodził dopoziomu runlevel 0, natomiastto
poziomu runlevel6 przechodził 34 razy. Informacje te uzy-
skamy tylkokorzystając z opcji
detail high, gdyżniesą one
na tyleistotne,abyumieszczać je przyniższych poziomach
szczegółowości.
W rozdzialeAnalizalogóww trybie tekstowym wydo-
bywaliśmy z logu secure informacje o tym,kto logował się
do naszego komputeraz pomocą sh. LogWatchrównież informacji.Autorfiltru shdprzewidziałmożliwość wyświe-
pozwala nam uzyskaćte informacje.Wystarczy, że użyjemy tlenia dodatkowych informacji w przypadku użycia opcji
polecenia:
detail20lub wyższej. W takim przypadkupowyższe
informacjemogłyby wyglądać tak:
logwatch -detail high -service shd
range=alS
-archives -printgerard:
192.168.10.20:
Możeono zwrócić dosyć obszernywynik,jednak nas w tej publickey: 20 times
chwili interesują linie umieszczone w bloku Usersloging in pasword: 1 time
throughshd.Wewspomnianym przykładzie liniete mogą ktosik:
wyglądać na przykład tak: 215.13.57.4:
publickey: 7 times
gerard:
192.168.10.20: 21 timesDaje nam to znacznie bardziej szczegółowyraportniż nasze
ktosik:krótkie polecenieawk.A totylko maływycinek informacji,
215.13.57.4: 7 timesjakie udostępnia nam filtrshd.
Jeśli chcemyzapoznać się zraportaminatemat kilku
Przy okazji filtru shd chciałbym zwrócić uwagę, że high wybranychusług, możemy tego dokonać jednym polece-
niekonieczniejest najwyższym poziomem szczegółowości niem,np.:



www.linux.com.pl51