Top / サーバー関係 / Log管理

/Log管理

Logについて †

通常、Centosの標準では、syslogd というログ管理のシステムが入っており、このデーモンが各プログラムからログを集めては、/var/log 以下のフォルダにlogを記録していきます。

通常のログローテート †

# vi /etc/logrotate.d/nginx
    /www/log/nginx/*log {
       daily
       rotate 10
       missingok
       notifempty
       compress
       sharedscripts
       postrotate
           [ ! -f /var/run/nginx.pid ] || kill -USR1 `cat /var/run/nginx.pid`
       endscript
    }

syslog-ng †

syslog-ngとは、syslogの代わりに以下の機能を持ったログ管理デーモンです。

• syslogdで提供される機能はすべて同様に利用可能
• ログの出力先をアプリケーションやIPアドレス毎に制御可能
• 特定の文字列が出力された際にメール通知等のアクションが可能
• udp514ポート以外にTCPや任意のポート番号でログ受信可能
• root以外のユーザで動作 このような特徴があり、とても便利なログ管理なので、これを利用したいと思います。syslogd-ngは企業で開発しているものですが、OpenSourceとして公開しています。
  BALABIT社のダウンロードサイト
  

インストール †

GLIBのインストールを行います。

# yum install glib2-devel

pkg-configをインストール

# wget http://pkgconfig.freedesktop.org/releases/pkg-config-0.23.tar.gz
# tar zxvf pkg-config-0.23.tar.gz
# cd pkg-config-0.23
# ./configure
# make
# make install

最初にeventLogをインストールします。

# wget http://www.balabit.com/downloads/files/syslog-ng/sources/stable/src/eventlog-0.2.7.tar.gz
# tar zxvf eventlog-0.2.7.tar.gz
# cd eventlog-0.2.7
# ./configure
# make
# make install

syslogdのインストールを行います。

# wget http://www.balabit.com/downloads/files/syslog-ng/sources/stable/src/syslog-ng-2.0.9.tar.gz
# tar zxvf syslog-ng-2.0.9.tar.gz
# cd syslog-ng-2.0.9
# ./configure --sysconfdir=/etc/syslog-ng
# make
# make install

Systemファイルの設定 †

# cd /usr/local/src/syslog-ng-2.0.9/contrib/rhel-packaging
# cp syslog-ng.init /etc/rc.d/init.d/syslog-ng
# cp syslog-ng.conf /etc
# chmod 755 /etc/init.d/syslog-ng
# chkconfig --add syslog-ng
# chkconfig syslog-ng on
# groupadd syslog
# useradd -g syslog -d /var/syslog -s /bin/false syslog

syslog-ng.conf の設定 †

# emacs /etc/syslog-ng.conf

# syslog-ng -s      <- config file のチェック

syslog の停止 †

# service syslogd stop
# service syslog-ng start
# chkconfig syslogd off
# chkconfig --del syslogd

ログインログの確認 †

サーバへのログインログを確認する簡単な方法は、lastか whoコマンドで確認することだ。(表示する内容は同じ)

# last
# who /vat/log/wtmp

このコマンドによって、直近のログイン履歴を確認することができる。また他のユーザーのログイン履歴をみる場合には、lastlogコマンドを利用する。

# lastlog

Logフォーマットの詳細(転記なので未確認) †

HTTPのステータスコード †

ulogd とは †

Logデータをデータベースに更新するソフト。

インストール †

# wget http://ftp.de.debian.org/debian/pool/main/u/ulogd/ulogd_1.24.orig.tar.gz
# tar zxvf ulogd_1.24.orig.tar.gz
# cd ulogd_1.24
# ./configure  --with-pgsql=/usr/local/pgsql --sysconfdir=/etc
# make
# make install
# cp ulogd.init /etc/rc.d/init.d/ulogd
# cp ulogd /usr/sbin/ulogd

設定ファイルの変更 †

# emacs /etc/ulogd.conf
  plugin="/usr/local/lib/ulogd/ulogd_LOCAL.so"        <- add
  #plugin="/usr/local/lib/ulogd/ulogd_LOGEMU.so"      <- comment
  plugin="/usr/local/lib/ulogd/ulogd_PGSQL.so"        <- enable
  [PGSQL]
  table="log"
  schema="public"
  pass="ulog"
  user="ulog"
  db="ulog"
  host="localhost"

起動 †

# chkconfig --add ulogd
# chkconfig ulogd on
# service ulogd start

他のサービスの登録 †

iptablesのulogd化 †

次の１行を追加。

# emacs /etc/sysconfig/iptables
  iptables -A INPUT -m limit --limit 1/s -j ULOG --ulog-nlgroup 1 --ulog-prefix 'INPUT'

参考ページ †

ULOGD ProjectPage
iptables と ulogd
http://www.netfilter.org/
Netfilter iptables のオフィシャルサイト。Linux で iptables および Netfilter をセットアップしようとするすべての人にとって必見。

参考 †

syslog-ng.conf 内で利用できるマクロ
アクセスログの改ざんと検出方法

添付ファイル: syslog-ng.conf 733件 [詳細] edesk-syslog-ng.conf.txt 910件 [詳細]