CentOS 7中的日志文件

在CentOS 7中，我如何找到并查看所有系统日志，这些日志告诉我谁试图进入系统，谁进入，他们联系了哪些流程，他们完成了哪些事情，等等。我希望能够将每个活动链接到其中一个用户ID或远程IP地址。

我的var/log/目录包含许多资源，包括/var/log/messages和/var/log/secure，但是大多数文件都是类型的Binary (application/octet-stream)，除非我将一些未知的查看程序与它们关联，否则操作系统不知道如何打开它们。另外，var/log/firewalld似乎没有包含有用的信息。

我可以找到我的应用程序，数据库和NginX / Apache生成的所有日志。

— CodeMed
source

好的，您发现了/var/log，其中所有人都是Binaries吗？你确定？你怎么检查？

— Braiam 2014年

@Braiam我不是说它们都是二进制文件。我说过大多数都是二进制文件。例如，/var/log/firewalld是一个似乎包含无用信息的文本文件。我通过单击GUI中的文件进行检查。首先左键单击以尝试打开，然后右键单击以查看属性以检查文件类型。

— CodeMed 2014年

系统默认不执行此操作。您必须启用审核日志记录才能获取此信息。我在此A中展示了许多方法：unix.stackexchange.com/questions/75051/…。这里有一个很好的auditd概述：security.blogoverflow.com/2013/01/…。搜索别人，有很多。

— slm

@slm我阅读了您的链接。谢谢。这将是一个Web服务器。我将需要跟踪以任何方式触摸数据库中的任何记录或文件系统特定部分中的任何文件的每个个人的身份。我还需要使用此日志记录数据来设置警报，这些警报将在未经授权的用户访问任何数据时触发。我知道如何进行应用程序和数据库级别的日志记录。我想设置日志记录，以便CentOS日志可以链接到Web容器日志，应用程序日志和数据库日志，也许可以通过ip。我应该如何提出有关此要求的CentOS级别的问题？

— CodeMed 2014年

@CodeMed-和您一样，我声明它是CentOS 7。我认为您可以使用auditd进行所需的操作，可以对文件系统进行操作，还可以由本地文件系统上的用户调用哪些命令/进程。除了用户nginx，apache等，它不会显示任何其他内容。从应用程序级别执行X。您可能需要将2混合在一起。我也将其构造为systemd Q，其中CentOS 7是特定实例。

— slm

您应该使用的（命令行）实用程序是journalctl。例如看dmesg输出：

journalctl --dmesg

或与防火墙有关的可解析条目：

journalctl --output=json-pretty UNIT=firewalld.service

有关可选UNIT的列表，请使用常用工具：

journalctl --output=json-pretty | grep -F UNIT | sort -u

请参阅man journalctl系统上的更多限制和指定输出的选项。

— 安通
source

谢谢。这是一个开始。但是我的问题更全球化。如何获得所有可用日志的列表？以及如何将输出转换成可以使用的格式？例如，可以导入到跟踪用户或ip的java程序中的资源。 journalcdt --dmesg似乎并没有找到比他更具体的人localhost.localdoman，并且journalctl --firewalld产生了unrecognized option。因此，您的建议还不能真正回答我的问题。

— CodeMed 2014年

您应该真正看一下手册页。这很新颖。journalctl --output=json-pretty UNIT=firewalld.service给你json输出。

— Anthon 2014年

谢谢你的更新。我确实读过该手册，但是您的回答可以使其更容易应用。现在，journalctl --output=json-pretty | grep -f UNIT | sort -u给出grep: UNIT: No such file or directory

— CodeMed 2014年

另外，journalctl --output=json-pretty UNIT=firewalld.service仅当我以root用户身份登录时才有效，而当我尝试以普通用户身份使用终端时则无效。所以我还不能以编程方式使用此代码。如果我能以某种方式为每个可选择的单元自动生成一组新的日志文件，而不必将我的root密码保留在可入侵的文件中，那么将回答这个问题。

— CodeMed 2014年

@CodeMed参数中有一个错字grep（我没有剪切和粘贴并小写该-F选项）。

— Anthon 2014年