Что такое «логи сервера», как посмотреть логи сервера. Логи сервера. Как и где их смотреть? Логи системы

Логи доступа (access_log)

Log файлы " Панели управления аккаунтом. В этих логах содержится информация о посещениях сайта пользователями сети Интернет.

Пример записи:

domen.ru 127.0.0.1 - - "GET /index.html HTTP/1.1" 200 198 "http://domen.ru/" "Mozilla/5.0 (compatible; MSIE 6.0; AOL 9.0; Windows NT 5.1)" 16143 0

Здесь:

• domen.ru - имя домена, т.е имя сервера, записанное в формате, определенным директивой UseCanonicalName;
• 127.0.0.1 - удаленный хост, т.е. IP-адрес посетителя;
• "-" - идентификатор клиента (записывается, если включена директива IndentyCheck и клиент предоставил данные для идентификации);
• "-" - имя удаленного пользователя, если запрос требовал аутентификации HTTP;
• - дата и время запроса;
• GET /index.html HTTP/1.1 - первая строка запроса;
• 200 - последний статус ответа сервера, если имели место внутренние перенаправления запроса (в данном случае успешное обращение);
• 198 - размер ответа сервера в байтах, исключая HTTP-заголовки (если ответ сервера равнялся 0 байтов, то вместо 0 записывается прочерк "-");
• "http://domen.ru/" "Mozilla/5.0 (compatible; MSIE 6.0; AOL 9.0; Windows NT 5.1) - значение заголовка с именем header в запросе;
• 16143 - PID процесса apache, выполняющего запрос.
• 0 - время работы процесса apache.

Обращаем внимание, что параметры, не имеющие значения, обозначаются в логах в виде "-"

Логи ошибок (error_log)

Включить данные логи можно в разделе "Log файлы " Панели управления аккаунтом.
В данные логи записываются ошибки Apache и всех его модулей, например, ошибки доступа или отсутствия файла на аккаунте, или же ошибки обработки mod_rewrite.

Пример записей:

domen.ru File does not exist: /home/d/domen/public_html/favicon.ico
domen.ru /home/d/domen/public_html/.htaccess: RewriteRule: cannot compile regular expression "^edit_serv/(.*):({2,20}+)/$"

В логах указывается имя домена, к которому было зафиксировано обращение, время обращения, IP-адрес, с которого была произведена попытка доступа и, непосредственно, текст ошибки.

Для того, чтобы в логах ошибок выводились ошибки php, необходимо прописать в файл.htaccess аккаунта следующие директивы:

php_flag display_errors off
php_value error_log "путь_к_файлу_логов"

Путь к файлу логов можно увидеть в разделе "Log файлы" Панели управления аккаунтом. Имеет вид:
/home/d/domen/error_log

FTP логи

FTP логи могут быть предоставлены по запросу в службу технической поддержки. В них отражены действия с аккаунтом, которые производились по FTP. Логи помещаются в корневую папку аккаунта и состоят из двух файлов с именами вида vsftpd.log и xferlog.

• В файле vsftpd.log содержатся логи FTP-сессий (вход/выход).
• В файле xferlog содержится информация о действиях, которые производились с файлами.

Пример записи в файле vsftpd.log:

Sun Jan 19 15:17:05 2014 FTP command: Client "100.0.0.2", "USER login"

Здесь указавается три основных параметра:

• Sun Jan 19 15:17:05 2014 - дата и время входа пользователя;
• login - логин пользователя;
• 100.0.0.2 - IP-адрес, с которого осуществлялся доступ.

Обращаем внимание, что запись с IP-адресом 192.168.1.254 означает, что вход осуществлялся через файловый менеджер из Панели управления аккаунтом.

Пример записи в файле xferlog:

Tue Jan 21 15:56:06 2014 1 127.0.0.1 34181 /test.txt b _ o r login ftp 0 * c

Здесь:

• Tue Jan 21 15:56:06 2014 - дата и время;
• 34181 - размер файла;
• test.txt - имя файла;
• b _ o r - операции, произведенные с файлами;
• login - логин пользователя, который выполнял действия.

Операции с файлами ("b _ o r") имеют четыре параметра:

1. Тип передачи: a – текстовый (ascii) b – бинарный. В данном случае b.
2. Метка особых действий, С – файл был сжат (compressed), U – файл был распакован (uncompressed), T – файл был заархивирован (в tar), "_" особых действий не было. На данном примере: "_" – особых действий не было.
3. Направление: o – исходящее, i – входящее, d – удаление. На данном примере: o – исходящее, т.е файл загружался с сервера.
4. Pежим доступа: a – анонимный, r – с регистрацией. На данном примере: r – с регистрацией, был осуществлён вход по логину и паролю.

Логи операций Панели управления

В разделе "Логи операций " Панели управления аккаунтом можно просмотреть действия, которые совершались в ПУ аккаунта, а также с каких IP-адресов производился доступ. Данные логи доступны за весь период существования аккаунта.

Если у вас появилось подозрение о том, что кто-то из сотрудников офиса заходит под вашей учётной записью, или у вас пропала конфиденциальная информация (пароли, фото и т.д), тогда эта статья для вас.

В любой операционной системе, будь это самые новые версии 10 или 8.1, или старые такие как XP и 7, есть специальная служба, отвечающая за контролем любых действий в системе. Проще говоря это лог компьютера со всеми действиями, выполненные пользователем и программным обеспечением.

Конечно же можно установить пароль на учётную запись , но многие просто ленятся это сделать. Как установить пароль я уже рассказывал ранее. Но сейчас мы будет смотреть, что происходит в логах системы.

Для запуска приложения "Управление компьютером", есть несколько способов:

1. Нажать правой кнопкой мыши по значку Мой компьютер а затем выбрать пункт "Управление"

2. Зайти в панель управления, либо из кнопки Пуск, либо в Мой компьютер, затем в разделе "Система и безопасность", выбрать раздел "Просмотр журнала событий".

После запуска приложения "Управление компьютером", нам нужно выбрать раздел Просмотр событий->Журналы Windows->Система

И вот тут по правую сторону приложения ищем строчку с Источником "Kernel General", именно она отвечает за запуск и выключения компьютера. Если нажать на данную строчка два раза, мы сможем посмотреть подробности события.

А если посмотреть строчку чуть выше, то мы увидим включение компьютера в указанное время.

В логе можно посмотреть абсолютно любые действия со стороны пользователя, а так же ошибки операционной системы и приложений. В общем каждый для себя сможет найти что-то интересное.

Так например на вкладке безопасность, найти включения и выключения компьютера значительно проще.

На вкладке Установка, можно посмотреть ошибки во время установки программ, или обновления Windows.

С этого момента вы будете в курсе всего происходящего на вашем компьютере, и если есть подозрение о вторжение других лиц, установите пароль на учётную запись. Специально для этого я создал обучающее видео, смотрите ниже.

Операционная система Windows 7 постоянно следит за различными достойными внимания событиями, возникающими в вашей системе. В Microsoft Windows событие (event) - это любое происшествие в операционной системе, которое записывается в журнал или требует уведомления пользователей или администраторов. Это может быть служба, которая не хочет запускаться, установка устройства или ошибка в работе приложения. События регистрируются и сохраняются в журналах событий Windows и предоставляют важные хронологические сведения, помогающие вести мониторинг системы, поддерживать ее безопасность, устранять ошибки и выполнять диагностику. Необходимо регулярно анализировать информацию, содержащуюся в этих журналах. Вам следует регулярно следить за журналами событий и настраивать операционную систему на сохранение важных системных событий. В том случае, если вы администратор серверов Windows, то необходимо следить за безопасностью их систем, нормальной работой приложений и сервисов, а также проверять сервер на наличие ошибок, способных ухудшить производительность. Если вы пользователь персонального компьютера, то вам следует убедиться в том, что вам доступны соответствующие журналы, необходимые для поддержки своей системы и устранения ошибок.

Программа «Просмотр событий» представляет собой оснастку консоли управления Microsoft (MMC) и предназначена для просмотра и управления журналами событий. Это незаменимый инструмент для наблюдения за работоспособностью системы и устранения возникших неполадок. Служба Windows, которая управляет протоколированием событий, называется «Журнал событий» . В том случае, если она запущена, Windows записывает важные данные в журналы. При помощи программы «Просмотр событий» вы можете выполнять следующие действия:

• Просматривать события определенных журналов;
• Применять фильтры событий и сохранять их для последующего использования в виде настраиваемых представлений;
• Создавать подписки на события и управлять ими;
• Назначать выполнение конкретных действий на возникновение определенного события.

Запуск приложения «Просмотр событий»

Приложение «Просмотр событий» можно открыть следующими способами:

Журналы событий в Windows 7

В операционной системе Windows 7, так же как и в Windosw Vista, существуют две категории журналов событий: журналы Windows и журналы приложений и служб . Журналы Windows - используются операционной системой для регистрации общесистемных событий, связанных с работой приложений, системных компонентов, безопасностью и запуском. А журналы приложений и служб - используются приложениями и службами для регистрации событий, связанных с их работой. Для управления журналами событий можно использовать оснастку «Просмотр событий» или программу командной строки wevtutil , о которой будет рассказано во второй части статьи. Все типы журналов описаны ниже:

Приложение - хранит важные события, связанные с конкретным приложением. Например, Exchange Server сохраняет события, относящиеся к пересылке почты, в том числе события информационного хранилища, почтовых ящиков и запущенных служб. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\Application.Evtx.

Безопасность - хранит события, связанные с безопасностью, такие как вход/выход из системы, использование привилегий и обращение к ресурсам. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\Security.Evtx

Установка - в этот журнал записываются события, возникающие при установке и настройке операционной системы и ее компонентов. По умолчанию размещается в %SystemRoot%\System32\Winevt\Logs\Setup.Evtx.

Система - хранит события операционной системы или ее компонентов, например неудачи при запусках служб или инициализации драйверов, общесистемные сообщения и прочие сообщения, относящиеся к системе в целом. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\System.Evtx

Пересылаемые события - если настроена пересылка событий, в этот журнал попадают события, пересылаемые с других серверов. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\ForwardedEvents.Evtx

Internet Explorer - в этот журнал записываются события, возникающие при настройке и работе с браузером Internet Explorer. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\InternetExplorer.Evtx

Windows PowerShell - в этом журнале регистрируются события, связанные с использованием оболочки PowerShell. По умолчанию размещается в %SystemRoot%\System32\Winevt\Logs\WindowsPowerShwll.Evtx

События оборудования - если настроена регистрация событий оборудования, в этот журнал записываются события, генерируемые устройствами. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\HardwareEvent.Evtx

В Windows 7 инфраструктура, обеспечивающая регистрацию событий, основана также как и в Windows Vista на XML. Данные о каждом событии соответствуют XML-схеме, что позволяет получить доступ к XML-коду любого события. Кроме того, можно создавать основанные на XML запросы для получения данных из журналов. Для использования этих новых возможностей не требуются знания об XML. Оснастка «Просмотр событий» предоставляет простой графический интерфейс для доступа к этим возможностям.

Свойства событий

Существует несколько свойств событий оснастки «Просмотр событий» , которые подробно описаны немного ниже:

Источник - это программа, зарегистрировавшая событие в журнале. Это может быть как имя программы (например, «Exchange Server»), так и название компонента системы или большого приложения (например, имя драйвера). Например, «Elnkii» означает драйвер EtherLink II.

Код события - это число, определяющее конкретный тип события. В первой строке описания обычно содержится название типа события. Например, 6005 - это идентификатор события, которое происходит при запуске службы ведения журналов событий. Соответственно, в начале описания этого события находится строка «Запущена служба журнала событий». Код события и имя источника записи могут использоваться представителями группы поддержки программного продукта для устранения неполадок.

Уровень - это уровень важности события. В журналах системы и приложений события могут иметь следующие уровни важности:

• Уведомление - обозначает изменение в приложении или компоненте, такое как возникновение информационного события, связанного с успешным действием, создание ресурса или запуск службы.
• Предупреждение - обозначает предупреждение общего характера на неполадку, способную повлиять на службу или привести к более серьезной проблеме, если оставить ее без внимания;
• Ошибка - обозначает, что возникла проблема, которая может повлиять на функции, внешние по отношению к приложению или компоненту, вызвавшим событие;
• Критическая ошибка - обозначает, что произошел сбой, после которого приложение или компонент, инициировавшие событие, не могут восстановиться автоматически;
• Аудит успехов - успешное выполнение действий, которые вы отслеживаете через аудит, например использование какой-либо привилегии;
• Аудит отказов - неудачное выполнение действий, которые вы отслеживаете через аудит, например ошибка при входе в систему.

Пользователь - определяет учетную запись пользователя, от имени которого возникло данное событие. К пользователям относятся особые сущности, например Local Service, Network Service и Anonymous Logon, а также учетные записи реальных пользователей. Это имя представляет собой идентификатор клиента, если событие фактически было вызвано серверным процессом, или основной идентификатор, если олицетворение не производится. В некоторых случаях запись журнала безопасности содержит оба идентификатора. А также в этом поле может стоять N/A (Н/Д), если в данной ситуации учетная запись неприменима. Олицетворение происходит в случаях, когда сервер позволяет одному процессу присвоить атрибуты безопасности другого процесса.

Рабочий код - содержит числовое значение, которое определяет операцию либо точку в пределах операции, при выполнении которой возникло данное событие. Например, инициализация или закрытие.

Журнал - имя журнала, в который было записано данное событие.

Категория и задачи - определяет категорию события, иногда используемую для последующего описания допустимого действия. У каждого источника событий свои категории. Например следующие категории: вход/выход, использование привилегий, изменение политики и управление учетной записью.

Ключевые слова - это набор категорий или меток, которые могут использоваться для фильтрации или поиска событий. Например: «Сеть», «Безопасность» или «Ресурс не найден».

Компьютер - идентифицирует имя компьютера, на котором произошло событие. Обычно это имя локального компьютера, но также может быть имя компьютера, переславшего событие, или имя локального компьютера до того, как оно было изменено.

Дата и время - определяет дату и время возникновения данного события в журнале.

ИД процесса - представляет идентификационный номер процесса, создавшего данное событие. Компьютерная программа представляет из себя только пассивную совокупность инструкций, в то время как процесс — это непосредственное выполнение этих инструкций

ИД потока - представляет идентификационный номер потока, создавшего данное событие. Процесс, порождённый в операционной системе, может состоять из нескольких потоков, выполняющихся «параллельно», то есть без предписанного порядка во времени. При выполнении некоторых задач такое разделение может достичь более эффективного использования ресурсов вычислительной машины

ИД процессора - представляет идентификационный номер процессора, обработавшего событие.

Код сеанса - это идентификационный номер сеанса на сервере терминалов, в котором произошло событие.

Время работы в режиме ядра - определяет время, потраченное на выполнение инструкций режима ядра, в единицах времени ЦП. Режим ядра имеет неограниченный доступ к системной памяти и внешним устройствам. Ядро системы NT называют гибридным ядром или макроядром.

Время работы в пользовательском режиме - определяет время, потраченное на выполнение инструкций пользовательского режима, в единицах времени ЦП. Режим пользователя состоит из подсистем, которые передают запросы ввода\вывода соответствующему драйверу режима ядра посредством менеджера Ввода-вывода.

Загруженность процессора - это время, потраченное на выполнение инструкций пользовательского режима, в тиках ЦП.

Код корреляции - определяет действие в процессе, для которого используется событие. Этот код используется для указания простых отношений между событиями. Корреляция — статистическая взаимосвязь двух или нескольких случайных величин (либо величин, которые можно с некоторой допустимой степенью точности считать таковыми). При этом, изменения одной или нескольких из этих величин приводят к систематическому изменению другой или других величин.

ИД относительной корреляции - определяет относительное действие в процессе, для которого используется событие

Работа с журналами событий

Просмотр событий

На следующем скриншоте можно увидеть журнал «Приложения» , в котором можно узнать сведения о событиях, недавних представлениях и доступных действиях. Для того чтобы просмотреть события журнала приложений, выполните следующие действия:

1. В дереве консоли выберите «Журналы Windows» ;
2. Выберите журнал «Приложения» .

Желательно почаще просматривать журналы событий «Приложение» и «Система» и изучать существующие проблемы и предупреждения, которые могут предвещать о проблемах в будущем. При выборе журнала в среднем окне отображаются доступные события, включая дату события, время и источник, уровень события и другие данные.

Панель «Область просмотра» показывает основные данные о событиях на вкладке «Общие» , а дополнительные специфические данные - на вкладке «Подробности» . Включить и выключить эту панель можно, выбрав меню «Вид» , а затем команду «Область просмотра» .

Для критических систем рекомендуется хранить журналы за последние несколько месяцев. Все время назначать журналам такой размер, чтобы в них умещалась вся информация, как правило, неудобно, решить эту задачу можно по-другому. Можно экспортировать журналы в файлы, распложенные в заданной папке. Для того чтобы сохранить выбранный журнал выполните следующие действия:

1. В дереве консоли выберите журнал событий, который нужно сохранить;
2. Выберите команду «Сохранить события как» из меню «Действие» или из контекстного меню журнала выберите команду «Сохранить все события как» ;
3. В появившемся диалоге «Сохранить как» выберите папку, в которую должен быть сохранен файл. Если требуется сохранить файл в новой папке, то ее можно создать непосредственно из этого диалога, используя контекстное меню или кнопку «Новая папка» на панели действий. В поле «Тип файла» нужно выбрать желаемый формат файла из доступных: файлы событий - *.evtx, xml-файл - *.xml, текст с разделением табуляции - *.txt, csv с разделением запятыми - *.csv. В поле «Имя файла» «Сохранить» . Для отмены сохранения нажмите на кнопку «Отмена» ;
4. В том случае, если журнал событий не предназначен для просмотра на другом компьютере, в диалоговом окне «Отображать сведения» оставьте заданный по умолчанию вариант «Не отображать сведения» , а если журнал предназначается для просмотра на другом компьютере, то в диалоговом окне «Отображать сведения» выберите вариант «Отображать сведения для следующих языков» и нажмите на кнопку «ОК» .

Очистка журнала событий

Иногда приходится очищать заполненные журналы событий для обеспечения эффективного анализа предупреждений и критических ошибок операционной системы. Для того чтобы очистить выбранный журнал выполните следующие действия:

1. В дереве консоли выберите журнал событий, который требуется очистить;
2. Очистите журнал одним из следующих способов:
   • В меню «Действие» выберите команду «Очистить журнал» ;
   • На выбранном журнале нажмите правой кнопкой для открытия контекстного меню. В контекстном меню выберите команду «Очистить журнал» ;
3. Далее можно либо очистить журнал, либо заархивировать его в том случае, если это не было сделано ранее:
   • Чтобы очистить журнал событий без сохранения нажмите нажать на кнопку «Очистить» ;
   • Чтобы очистить журнал событий после его сохранения нажмите на кнопку «Сохранить и очистить» . В появившемся диалоге «Сохранить как» выберите папку, в которую должен быть сохранен файл. Если требуется сохранить файл в новой папке, то ее можно создать непосредственно из этого диалога используя контекстное меню или кнопку «Новая папка» на панели действий. В поле «Имя файла» введите имя и нажмите на кнопку «Сохранить» . Для отмены сохранения нужно нажать на кнопку «Отмена» .

Установка максимального размера журнала

Как было сказано выше, журналы событий хранятся в виде файлов в папке %SystemRoot%\System32\Winevt\Logs\. По умолчанию максимальный размер этих файлов ограничен, но его можно изменить следующим способом:

1. Выберите команду «Свойства» из меню «Действие»
2. В поле «Максимальный размер журнала (КБ)» установите требуемое значение при помощи счетчика или установите вручную без использования счетчика. В этом случае значение будет округлено до ближайшего числа, кратного 64 КБ так как размер файла журнала должен быть кратен 64 КБ и не может быть меньше 1024 КБ.

События сохраняются в файле журнала, размер которого может увеличиваться только до заданного максимального значения. После достижения файлом максимального размера, обработка поступающих событий будет определяться политикой хранения журналов. Доступны следующие политики сохранения журнала:

Переписывать события при необходимости (сначала старые файлы) - в этом случае новые записи продолжают заноситься в журнал после его заполнения. Каждое новое событие заменяет в журнале наиболее старое;

Архивировать журнал при заполнении; не переписывать события - в этом случае файл журнала автоматически архивируется при необходимости. Перезапись устаревших событий не выполняется.

Не переписывать события (очистить журнал вручную) - в этом случае журнал очищается вручную, а не автоматически.

Для того чтобы выбрать нужную политику сохранения журналов выполните следующие действия:

1. В дереве консоли выберите журнал событий, для которого следует изменить размер;
2. Выберите команду «Свойства» из меню «Действие» или из контекстного меню выбранного журнала;
3. На вкладке «Общие» , в разделе «При достижении максимального размера» выберите требуемый параметр и нажмите на кнопку «ОК» .

Активация аналитического и отладочного журнала

Аналитический и отладочный журналы по умолчанию неактивны. После активации они быстро заполняются большим количеством событий. По этой причине желательно активировать указанные журналы на ограниченный период времени для того, чтобы собрать необходимые для поиска и устранения неполадок данные, а затем снова их отключить. Активацию журналов можно выполнить следующим образом:

1. В дереве консоли найдите и выберите аналитический или отладочный журнал, который необходимо активировать;
2. Выберите команду «Свойства» из меню «Действие» или из контекстного меню выбранного аналитического или отладочного журнала;
3. На вкладке «Общие» установите флажок на опции «Включить ведение журнала»

Открытие и закрытие сохраненного журнала

При помощи оснастки «Просмотр событий» можно открывать и просматривать сохраненные ранее журналы. Одновременно можно открыть несколько сохраненных журналов и обращаться к ним в любое время в дереве консоли. Журнал, открытый в «Просмотре событий» , может быть закрыт без удаления содержащихся в нем сведений. Для открытия сохраненного журнала выполните следующие действия:

1. Выберите команду «Открыть сохраненный журнал» в меню «Действие» или из контекстного меню в дереве консоли;
2. 3. В диалоговом окне «Открыть сохраненный журнал» , передвигаясь по дереву каталогов, откройте папку, содержащую нужный файл. По умолчанию в диалоговом окне будут выведены все файлы журналов событий. Также при открытии можно выбрать тип файлов, которые нужно отображать в диалоге открытия. Доступные типы файлов: файлы журнала событий (*.evtx, *.evt, *.etl), а также файлы событий (*.evtx), старые файлы событий (*.evt) или файлы журнала трассировки (*.etl). После того, как нужный файл журнала будет найден, выделите его, щелкнув на нем левой кнопкой мыши, что поместит его имя в строку для ввода имени файла и нажмите на кнопку «Открыть» .
3. В диалоге «Открыть сохраненный журнал» , в поле «Имя» введите новое имя, которое будет использоваться для журнала в дереве консоли. Оно используется только для представления журнала в дереве консоли и имя файла журнала при этом не изменяется Можно также использовать существующее имя файла журнала. В поле «Описание» введите описание журнала. Оно будет отображаться в центральной области при выделении родительской папки журнала в дереве консоли;
4. Для создания папки, в которой будет расположен сохраненный журнал, нажмите на кнопку «Создать папку» . В поле «Имя» введите имя папки, в которой будет находиться открытый журнал, а затем нажмите кнопку «ОК» . Если родительская папка не выбрана, новая папка будет расположена в папке «Сохраненные журналы» .
5. Для того чтобы открытый журнал событий стал недоступным для других пользователей компьютера, вы можете снять флажок «Все пользователи» . В том случае, если этот флажок останется активным, открытый журнал будет доступен всем пользователям, но для его удаления из дерева консоли потребуются права администратора;
6. Для открытия журнала, нажмите на кнопку «ОК» .

Для того чтобы удалить открытый журнал из дерева событий, выполните следующие действия:

1. В дереве консоли выберите журнал, который следует удалить;
2. Выберите команду «Удалить» из меню «Действие» или из контекстного меню выбранного журнала;
3. В диалоге «Просмотр событий» нажмите на кнопку «Да» .

Заключение

В этой части статьи, посвященной оснастке «Просмотр событий», рассказывается о самой оснастке и подробно описаны простейшие операции, связанные с мониторингом и обслуживанием системы при помощи «Просмотра событий». Следующая часть статьи будет рассчитана для опытных пользователей Windows. В ней будут описаны задачи с настраиваемыми представлениями, фильтрация, группировка/сортировка событий и управление подписками.

Системные администраторы, да и обычные пользователи Linux, часто должны смотреть лог файлы для устранения неполадок. На самом деле, это первое, что должен сделать любой сисадмин при возникновении любой ошибки в системе.

Сама операционная система Linux и работающие приложения генерируют различные типы сообщений, которые регистрируются в различных файлах журналов. В Linux используются специальное программное обеспечение, файлы и директории для хранения лог файлов. Знание в каких файлах находятся логи каких программ поможет вам сэкономить время и быстрее решить проблему.

В этой статье мы рассмотрим основные части системы логирования в Linux, файлы логов, а также утилиты, с помощью которых можно посмотреть логи Linux.

Большинство файлов логов Linux находятся в папке /var/log/ Вы можете список файлов логов для вашей системы с помощью команды ls:

Rw-r--r-- 1 root root 52198 май 10 11:03 alternatives.log
drwxr-x--- 2 root root 4096 ноя 14 15:07 apache2
drwxr-xr-x 2 root root 4096 апр 25 12:31 apparmor
drwx------ 2 root root 4096 май 5 10:15 audit
-rw-r--r-- 1 root root 33100 май 10 10:33 boot.log

Ниже мы рассмотрим 20 различных файлов логов Linux, размещенных в каталоге /var/log/. Некоторых из этих логов встречаются только в определенных дистрибутивах, например, dpkg.log встречается только в системах, основанных на Debian.

/var/log/messages - содержит глобальные системные логи Linux, в том числе те, которые регистрируются при запуске системы. В этот лог записываются несколько типов сообщений: это почта, cron, различные сервисы, ядро, аутентификация и другие.

/var/log/dmesg - содержит сообщения, полученные от ядра. Регистрирует много сообщений еще на этапе загрузки, в них отображается информация об аппаратных устройствах, которые инициализируются в процессе загрузки. Можно сказать это еще один лог системы Linux. Количество сообщений в логе ограничено, и когда файл будет переполнен, с каждым новым сообщением старые будут перезаписаны. Вы также можете посмотреть сообщения из этого лога с помощью команды dmseg.

/var/log/auth.log - содержит информацию об авторизации пользователей в системе, включая пользовательские логины и механизмы аутентификации, которые были использованы.

/var/log/boot.log - Содержит информацию, которая регистрируется при загрузке системы.

/var/log/daemon.log - Включает сообщения от различных фоновых демонов

/var/log/kern.log - Тоже содержит сообщения от ядра, полезны при устранении ошибок пользовательских модулей, встроенных в ядро.

/var/log/lastlog - Отображает информацию о последней сессии всех пользователей. Это нетекстовый файл, для его просмотра необходимо использовать команду lastlog.

/var/log/maillog /var/log/mail.log - журналы сервера электронной почты, запущенного в системе.

/var/log/user.log - Информация из всех журналов на уровне пользователей.

/var/log/Xorg.x.log - Лог сообщений Х сервера.

/var/log/alternatives.log - Информация о работе программы update-alternatives. Это символические ссылки на команды или библиотеки по умолчанию.

/var/log/btmp - лог файл Linux содержит информацию о неудачных попытках входа. Для просмотра файла удобно использовать команду last -f /var/log/btmp

/var/log/cups - Все сообщения, связанные с печатью и принтерами.

/var/log/anaconda.log - все сообщения, зарегистрированные при установке сохраняются в этом файле

/var/log/yum.log - регистрирует всю информацию об установке пакетов с помощью Yum.

/var/log/cron - Всякий раз когда демон Cron запускает выполнения программы, он записывает отчет и сообщения самой программы в этом файле.

/var/log/secure - содержит информацию, относящуюся к аутентификации и авторизации. Например, SSHd регистрирует здесь все, в том числе неудачные попытки входа в систему.

/var/log/wtmp или /var/log/utmp - системные логи Linux, содержат журнал входов пользователей в систему. С помощью команды wtmp вы можете узнать кто и когда вошел в систему.

/var/log/faillog - лог системы linux, содержит неудачные попытки входа в систему. Используйте команду faillog, чтобы отобразить содержимое этого файла.

/var/log/mysqld.log - файлы логов Linux от сервера баз данных MySQL.

/var/log/httpd/ или /var/log/apache2 - лог файлы linux11 веб-сервера Apache. Логи доступа находятся в файле access_log, а ошибок в error_log

/var/log/lighttpd/ - логи linux веб-сервера lighttpd

/var/log/conman/ - файлы логов клиента ConMan,

/var/log/mail/ - в этом каталоге содержатся дополнительные логи почтового сервера

/var/log/prelink/ - Программа Prelink связывает библиотеки и исполняемые файлы, чтобы ускорить процесс их загрузки. /var/log/prelink/prelink.log содержит информацию о.so файлах, которые были изменены программой.

/var/log/audit/ - Содержит информацию, созданную демоном аудита auditd.

/var/log/setroubleshoot/ - SE Linux использует демон setroubleshootd (SE Trouble Shoot Daemon) для уведомления о проблемах с безопасностью. В этом журнале находятся сообщения этой программы.

/var/log/samba/ - содержит информацию и журналы файлового сервера Samba, который используется для подключения к общим папкам Windows.

/var/log/sa/ - Содержит.cap файлы, собранные пакетом Sysstat.

/var/log/sssd/ - Используется системным демоном безопасности, который управляет удаленным доступом к каталогам и механизмами аутентификации.

Просмотр логов в Linux

Чтобы посмотреть логи на Linux удобно использовать несколько утилит командной строки Linux. Это может быть любой текстовый редактор, или специальная утилита. Скорее всего, вам понадобятся права суперпользователя для того чтобы посмотреть логи в Linux. Вот команды, которые чаще всего используются для этих целей:

• zgrep
• zmore

Я не буду останавливаться подробно на каждой из этих команд, поскольку большинство из них уже подробно рассмотрены на нашем сайте. Но приведу несколько примеров. Просмотр логов Linux выполняется очень просто:

Смотрим лог /var/log/messages, с возможностью прокрутки:

less /var/log/messages

Просмотр логов Linux, в реальном времени:

tail -f /var/log/messages

Открываем лог файл dmesg:

cat /var/log/dmesg

Первые строки dmesg:

head /var/log/dmesg

Выводим только ошибки из /var/log/messages:

grep -i error /var/log/messages

Кроме того, посмотреть логи на linux можно и с помощью графических утилит. Программа System Log Viewer может быть использована для удобного просмотра и отслеживания системных журналов на ноутбуке или персональном компьютере с Linux.

Вы можете установить программу в любой системе с установленным X сервером. Также для просмотра логов может использоваться любой графический тестовый редактор.

Выводы

В каталоге /var/log вы можете найти всю необходимую информацию о работе Linux. Из сегодняшней статьи вы достаточно узнали, чтобы знать где искать, и что искать. Теперь просмотр логов в Linux не вызовет у вас проблем. Если остались вопросы, задавайте в комментариях!

Лог-файлы (log file) сервера – это простой текстовый файл , в котором записываются все действия в хронологическом виде. Это все запросы, обращенные к веб-сайту и ошибки, связанные с ними.

Как происходит контакт пользователя с вашим сайтом? Он набирает адрес в браузере и на сервер идет запрос, который записывается в файле лога в виде «GET <адрес_ресурса>» ). Далее в одну строку записаны и другие данные: это код ответа сервера, ip пользователя, дата, версия браузера, операционная система, страница, с которой зашел пользователь и т.д.

Нам нужно запомнить, что обычные запросы выглядят так: «GET <адрес_ресурса>»). Рядом посмотрите на ответ сервера. Если 200, то со страницей все нормально. Если 404 или другой, то есть проблемы.

Для чего нам нужно анализировать логи сервера?

Когда сайт работает без сбоев, то мы и не заглядываем в эти файлы. Но при возникшей внезапно большой нагрузке на сервер логи окажут неоценимую пользу.

Например, ваш сайт стал жутко тормозить. Самое время почитать записи в лог-файлах.

Вы увидите, что с одного и того же айпи поступают однотипные запросы, которые начинаются с «POST» . Это и есть атаки злоумышленников на ваш сайт. Они могут подбирать пароли к админке, могут искать уязвимости в ваших скриптах. Именно поэтому нужно всегда их обновлять. Могут многократно обратиться к запуску крона – это нужно функциональности, которую можно и отключить на время массированных атак. Все эти действия сильно грузят сервер и тормозят загрузку веб-страниц.

К примеру, обращение «POST /xmlrpc.php», «POST /wp-login.php» для вордпресс может положить сервер. Смотрите все записи с «POST».

Решите эту проблему и снимите нагрузку. Сайт вновь начнет летать.

Где находятся файлы логов сайта на сервере?

Обычно они расположены в папках log и logs . Называются access.log .

Скачайте файл в себе на комп или откройте сразу на сервере (если он небольшой) и проанализируйте все записи. На первый взгляд там очень много непонятного. Но вы сосредоточьтесь на своей проблеме и для начала просто смотрите ответы кодов сервера и типы запросов «GET» или «POST» .

GET -данные передаются в адресную строку. В этом случае посетитель нажимает на ссылку или вводит адрес в адресную строку браузера. Дополнительные данные не передаются.

POST - например, пользователь заполнил форму и нажал на кнопку. Дополнительные данные передаются.

А теперь рассмотрим , разработанные на cms Wordpress и их предотвращение.