Debian日志中必须关注哪些信息

Debian日志必须关注的关键信息

一 核心系统日志

• 文件与用途
  • /var/log/syslog：系统级总日志，覆盖启动/关机、内核消息、服务启动与停止、网络事件与错误、部分安全事件等，是日常排障的第一入口。
  • /var/log/kern.log：仅内核级消息，关注硬件故障、驱动加载/异常、资源与内核告警。
  • /var/log/dmesg：内核环缓冲内容，重点看开机硬件检测、驱动加载与早期启动问题。
  • /var/log/messages：与 syslog 类似（部分系统可能合并），仍以应用与服务层消息为主。
  • /var/log/boot.log：记录开机自启过程与引导阶段问题。
• 必须关注
  • 启动/关机异常、内核报错（如 segfault、OOM）、硬件告警（磁盘/内存/驱动）、服务频繁重启或崩溃、网络接口异常。

二 安全与审计日志

• 文件与用途
  • /var/log/auth.log：集中记录认证与授权，如SSH 登录成功/失败、sudo 使用、权限变更等，是入侵排查与暴力破解识别的核心。
  • /var/log/ufw.log（启用 UFW 时）：防火墙规则变更与阻断事件。
  • /var/log/audit/audit.log（启用 auditd 时）：系统调用审计、文件访问与权限变更等细粒度安全事件。
• 必须关注
  • 多次失败的登录尝试、异常来源 IP 的登录、sudo 提权操作、关键文件/目录的未授权访问、防火墙规则被修改。

三 计划任务与包管理日志

• 文件与用途
  • /var/log/cron：定时任务执行记录与失败原因，排查“计划任务未执行/执行失败”的第一现场。
  • /var/log/apt/history.log：APT 操作历史（安装/升级/删除），用于追踪变更与回滚；配合 /var/log/apt/term.log 可查看详细终端输出。
• 必须关注
  • cron 任务报错或未按预期运行、关键安全/内核/中间件包被变更、升级失败导致的功能退化。

四 常见服务与应用日志

• 文件与用途
  • Web：/var/log/apache2/access.log（访问记录）与 /var/log/apache2/error.log（错误与警告）；Nginx 同理（/var/log/nginx/）。
  • 数据库：/var/log/mysql/error.log（MySQL 错误/告警/性能提示）；PostgreSQL 常见为 /var/log/postgresql/。
  • 邮件：/var/log/mail.log（Postfix 等 MTA 的收发与队列状态）。
• 必须关注
  • 5xx/4xx 错误激增、后端连接失败、慢查询或崩溃、邮件队列堆积与反垃圾拦截告警。

五 高效查看与告警实践

• 快速定位
  • 使用 journalctl 统一检索 systemd 日志：如 journalctl -xe（最新错误上下文）、journalctl -u （指定服务）。
  • 实时跟踪与检索：tail -f /var/log/auth.log；grep -i “error|fail|segfault” /var/log/syslog。
• 例行检查与报告
  • 安装并使用 Logwatch 生成日报/周报，或通过 cron 每日邮件汇总关键告警。
• 日志治理
  • 使用 logrotate 做轮转与压缩，设置合理权限与保留策略，防止磁盘被占满并降低泄露风险。
• 高频告警词
  • 在 syslog/auth.log 等中重点搜索：Failed、failed、Error、err、segfault、WARNING、FATAL 等关键词，结合时间窗口与来源 IP 做聚合分析。