[root@linux ~]# cat /var/log/secure
Oct 16 10:16:13 linux sshd[3494]: Accepted password for dmtsai from 
192.168.1.11 port 1037 ssh2
Oct 16 10:20:15 linux xinetd[21592]: START: shell pid=4176 from=192.168.1.31
Oct 16 14:50:25 linux sshd[26665]: Accepted password for dmtsai from 
192.168.1.11 port 1078 ssh2
Oct 16 19:56:06 linux xinetd[20576]: START: shell pid=21013 from=192.168.1.31

服务名称[.=!]讯息等级		讯息记录的文件名或装置或主机
# 例如底下：
mail.info			/var/log/maillog_info

# 来自 Fedora Core Release 4 的相关资料
[root@linux ~]# vi /etc/syslog.conf
#kern.*                                    /dev/console
# 只要是 kernel 产生的讯息，全部都送到 console 去！
# 这个项目默认是关闭的！不过，只要您愿意，可以开启就是了！

*.info;mail.none;authpriv.none;cron.none   /var/log/messages
# 在已知各服务的讯息中，不要记录到这个档案当中啦！
# 例如 mail 我们已经默认要记录在 /var/log/maillog （底下），
# 所以自然不要在记录 mail 到这个 /var/log/messages 档案中啦！ 
# 然后其他的讯息全部都记录到 /var/log/messages 当中！
# 所以这个档案相当的重要！没有被规定到的讯息都可以在这里找到！

authpriv.*                                 /var/log/secure
# 这个就是经过一些身份确认的行为之后，需要记录身份的档案啦！
# 什么是身份确认呢？例如 pop3 收信要输入账号与密码、 ssh 与 telnet, ftp 
# 等等的服务需要输入账号与密码，这些都会在 /var/log/secure 里面记录！
# 他可也是相当重要的一个档案呢！

mail.*                                     -/var/log/maillog
# 只要跟 mail 有关的（不论是 pop3 还是 sendmail ）都会被纪录到这个档案中！

cron.*                                     /var/log/cron
# 还记得例行性命令那一章节吗？！对啦！就是那个 crontab 的东西，
# 那东西的服务程序名称就是 cron 啦！执行 cron 的结果都记录于此！

*.emerg                                    *
# 任何时候发生的警告讯息都会显示给在线的所有人！那个 ＊ 就是目前在线的所有人啦！
# 这个就是利用 wall 之类的方式传输讯息的啊！

uucp,news.crit                             /var/log/spooler
# 记录新闻错误高于 crit 的等级的信息，写入 spooler 当中！

local7.*                                   /var/log/boot.log
# 将开机的当中的讯息给他写入 /var/log/boot.log 这个档案当中呦！ 

# 来自 Mandrake 9.0 的 syslog.conf 内容
[root@linux ~]# vi /etc/syslog.conf
auth,authpriv.*                                /var/log/auth.log
*.*;auth,authpriv.none                        -/var/log/syslog
user.*                                        -/var/log/user.log
*.info;mail.none;;news.none;authpriv.none     -/var/log/messages
Authpriv.*                                     /var/log/secure
mail.=debug;mail.=info;mail.=notice           -/var/log/mail/info
mail.=warn                                    -/var/log/mail/warnings
mail.err                                      -/var/log/mail/errors
cron.=debug;cron.=info;cron.=notice           -/var/log/cron/info
cron.=warn                                    -/var/log/cron/warnings
cron.err                                      -/var/log/cron/errors
kern.=debug;kern.=info;kern.=notice           -/var/log/kernel/info
kern.=warn                                    -/var/log/kernel/warnings
kern.err                                       /var/log/kernel/errors
lpr.=debug;lpr.=info;lpr.=notice              -/var/log/lpr/info
lpr.=warn                                     -/var/log/lpr/warnings
lpr.err                                       -/var/log/lpr/errors
news.=debug;news.=info;news.=notice           -/var/log/news/news.notice
news.=crit                                    -/var/log/news/news.crit
news.=err                                     -/var/log/news/news.err
Daemon.=debug;daemon.=info;daemon.=notice     -/var/log/daemons/info
Daemon.=debug;daemon.=info;daemon.=notice     -/var/log/daemons/info
Daemon.=warn                                  -/var/log/daemons/warnings
Daemon.err                                    -/var/log/daemons/errors
*.emerg                                       *
Local1.*                                      -/var/log/explanations

# 1. 先设定好所要建立的档案设置！
[root@linux ~]# vi /etc/syslog.conf
*.info          /var/log/admin.log

# 2. 重新启动 syslog 呢！
[root@linux ~]# /etc/init.d/syslog restart
[root@linux ~]# ll /var/log/admin.log
-rw-------  1 root root 122 Oct 23 22:21 /var/log/admin.log
# 瞧吧！建立了这个档案出现啰！

[root@linux ~]# chattr +a /var/log/messages
[root@linux ~]# lsattr /var/log/messages
-----a------- /var/log/messages

[root@linux ~]# chattr -a /var/log/messages

# 1. 先取得 port number 的信息！
[root@linux ~]# grep 514 /etc/services
syslog          514/udp
# 特别特别注意，你的 /etc/services 里面必须要存在这一行才行～
# 如果不存在这一行，你可以手动自行增加的！

# 2. 修改 syslogd 的启动配置文件，通常在 /etc/sysconfig 内！
[root@linux ~]# vi /etc/sysconfig/syslog
# 找到底下这一行：
SYSLOGD_OPTIONS="-m 0"
# 改成底下这样子！
SYSLOGD_OPTIONS="-m 0 -r"

# 3. 重新启动与观察 syslogd 喔！
[root@linux ~]# /etc/init.d/syslog restart
[root@linux ~]# netstat -tlunp
Proto Recv-Q Send-Q Local Address Foreign Address State  PID/Program name
udp   0      0      0.0.0.0:514   0.0.0.0:*              24314/syslogd
# 嘿嘿！你的登录文件主机已经设定妥当啰！很简单吧！

[root@linux ~]# vi /etc/syslog.conf
*.*       @192.168.1.100

[root@linux ~]# vi /etc/logrotate.conf
# 底下的设定是 "logrotate 的预设设定值" ，如果个别的档案设定了其他的参数，
# 那么将以个别的档案设定为主，若该档案没有设定到的参数，
# 则以这个档案的内容为默认值！

weekly
# 预设每个礼拜对登录档进行一次 rotate 的工作

rotate 4
# 保留几个登录档呢？预设是保留四个！

create
# 是否建立新的登录文件来记录呢？因为我们要继续记录，所以当然是建立啰！

#compress
# rotate 之后的登录档，要不要压缩，通常是不要压缩啦，但是如果你的系统很忙碌，
# 表示你的登录档很庞大的时候，那么最好就是给他压缩一下比较不会占空间！
# 如果要压缩，将 # 拿掉即可！不过，登录档扩展名会变成 messages.1.gz 喔！

include /etc/logrotate.d
# 将底下这个目录中的所有档案都读进来执行 rotate 的工作！

/var/log/wtmp {
    monthly
    create 0664 root utmp
    rotate 1
}
# 基本上，在 logrotate.conf 档案当中，只有这个数据是在记载如何对登录文件进行轮替的！
# 这个登录文件记载的就是使用 login 登入系统时的用户状态，还记得那个 last 指令吧？
# 就是读自 /var/log/wtmp 当中记录的数据啦！整个段落的意义是：
# 1. 每个月进行一次 log rotate 的工作； 
# 2. 将档案的权限设定为 664 ，且拥有者为 root ，群组为 utmp； 
# 3. 仅保存前一个月的 rotate 备份！
# 这也是为什么我们说 last 只会秀出这个月的数据而已的原因～因为一个月轮替一次嘛！
# 这个 rotate 可以改大一点，例如 5 以保存五个月，以利追踪 

/var/log/btmp {
    missingok
    monthly
    create 0600 root utmp
    rotate 1
}
# 这个跟 wtmp 类似！

[root@linux ~]# vi /etc/logrotate.d/syslog
/var/log/messages /var/log/secure /var/log/maillog /var/log/spooler 
/var/log/boot.log /var/log/cron {
    sharedscripts
    postrotate
        /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
    endscript
}
# 亦即是这样的格式啦！
# 登录文件的绝对路径文件名 {
# 	各项基本上设定值
# }

[root@linux ~]# vi /etc/logrotate.d/syslog
/var/log/messages /var/log/secure /var/log/maillog /var/log/spooler 
/var/log/boot.log /var/log/cron {
    sharedscripts
    prerotate
	/usr/bin/chattr -a /var/log/messages
    endscript
    sharedscripts
    postrotate
        /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
	/usr/bin/chattr +a /var/log/messages
    endscript
}

[root@linux ~]# logrotate [-vf] logfile
参数：
-v  ：启动显示模式，会显示 logrotate 运作的过程喔！
-f  ：不论是否符合配置文件的数据，强制每个登录档都进行 rotate 的动作！
范例：

范例一：执行一次 logrotate 看看整个流程为何？
[root@linux ~]# logrotate -v /etc/logrotate.conf
reading config file /etc/logrotate.conf
including /etc/logrotate.d
reading config file acpid
reading config info for /var/log/acpid
.....(中间省略).....
rotating pattern: /var/log/btmp  monthly (1 rotations)
empty log files are rotated, old logs are removed
considering log /var/log/btmp
  log does not need rotating

范例二：强制进行 logrotate 的动作
[root@linux ~]# logrotate -vf /etc/logrotate.conf
.....(前面省略).....
rotating pattern: /var/log/wtmp  forced from command line (1 rotations)
empty log files are rotated, old logs are removed
considering log /var/log/wtmp
  log needs rotating
rotating log /var/log/wtmp, log->rotateCount is 1
renaming /var/log/wtmp.1 to /var/log/wtmp.2 (rotatecount 1, logstart 1, i 1),
renaming /var/log/wtmp.0 to /var/log/wtmp.1 (rotatecount 1, logstart 1, i 0),
old log /var/log/wtmp.0 does not exist
renaming /var/log/wtmp to /var/log/wtmp.1
creating new log mode = 0664 uid = 0 gid = 22
removing old log /var/log/wtmp.2
# 看到否？整个 rotate 的动作就是这样一步一步进行的～

# 1. 先建立 +a 这个属性啊！
[root@linux ~]# chattr +a /var/log/admin.log
[root@linux ~]# lsattr /var/log/admin.log
-----a------- /var/log/admin.log
[root@linux ~]# mv /var/log/admin.log /var/log/admin.log.1
mv: cannot move '/var/log/admin.log' to '/var/log/admin.log.1':permission deny

# 2. 开始建立 logrotate 的配置文件，增加一个档案在 /etc/logrotate.d 内就对了！
[root@linux ~]# vi /etc/logrotate.d/admin
# This configuration is from VBird 2005/10/24
/var/log/admin.log {
        monthly
        size=10M
        rotate 5
        nocompress
        sharedscripts
        prerotate
                /usr/bin/chattr -a /var/log/admin.log
        endscript
        sharedscripts
        postrotate
                /usr/bin/killall -HUP syslogd
                /usr/bin/chattr +a /var/log/admin.log
        endscript
}

# 3. 测试一下 logrotate 相关功能的信息显示：
[root@linux ~]# logrotate -v /etc/logrotate.conf
.....(前面省略).....
rotating pattern: /var/log/admin.log  10485760 bytes (5 rotations)
empty log files are rotated, old logs are removed
considering log /var/log/admin.log
  log does not need rotating
not running shared prerotate script, since no logs will be rotated
.....(底下省略).....

# 4. 测试一下强制 logrotate 与相关功能的信息显示：
[root@linux ~]# logrotate -vf /etc/logrotate.d/admin
reading config file /etc/logrotate.d/admin
reading config info for /var/log/admin.log

Handling 1 logs

rotating pattern: /var/log/admin.log  forced from command line (5 rotations)
empty log files are rotated, old logs are removed
considering log /var/log/admin.log
  log needs rotating
running shared prerotate script
rotating log /var/log/admin.log, log->rotateCount is 5
....(中间省略)....
renaming /var/log/admin.log.0 to /var/log/admin.log.1 (rotatecount 5, logstart 1, i 0),
old log /var/log/admin.log.0 does not exist
log /var/log/admin.log.6 doesn't exist -- won't try to dispose of it
renaming /var/log/admin.log to /var/log/admin.log.1
running shared postrotate script

[root@linux ~]# lsattr /var/log/admin.log*
-----a------- /var/log/admin.log
------------- /var/log/admin.log.1

##########################################################
欢迎使用本程序来查验您的登录档
本程序目前版本为： Version 0.1-1
程序最后更新日期为： 2005-01-09
若在您的系统中发现本程序有问题, 欢迎与我联络！
鸟哥的首页 http://linux.vbird.org
问题回报： http://phorum.vbird.org/viewtopic.php?t=3425
##########################################################
 
=============== 系统汇整 =================================
核心版本  : Linux version 2.6.12-1.1456_FC4 (bhcompile@tweety.build.redhat.com)
CPU 信息  : Pentium III (Coppermine)
         : 997.519 MHz
主机名  : localhost.localdomain
统计日期  : 2005/October/24 00:10:02 ( Monday )
分析的日期: Oct 23
已开机期间: 26 days, 1:02,
目前主机挂载的 partitions
      Filesystem            Size  Used Avail Use% Mounted on
      /dev/hda1             5.7G  3.3G  2.2G  61% /
      /dev/shm              189M     0  189M   0% /dev/shm


================= Ports 的相关分析信息 =======================
主机启用的 port 与相关的 process owner：
仅对本机界面开放的 ports (PID|owner|command)
      tcp 25|(root)|/usr/libexec/postfix/master
对外部接口开放的 ports (PID|owner|command)
      tcp 22|(root)|/usr/sbin/sshd
      udp 68|(root)|/sbin/dhclient -1 -q -cf /etc/dhclient-eth1.conf -lf /var/l

================= SSH 的登录文件信息汇整 =======================
一共成功登入的次数：         3
      账号       来源地址        次数
      dmtsai2    192.168.1.51      3

以 su 转换成 root 的使用者及次数
      账号                       次数
      (uid=530)                   1


================= POP3 的登录文件信息汇整 ======================
今日没有使用 POP3 的纪录


================= Postfix 的登录文件信息汇整 ===================
使用者信箱受信次数：