Connaître les fichiers journaux Linux

Le système d'exploitation GNU / Linux lui-même offre de nombreuses possibilités et flexibilité à lui seul, sans avoir besoin de modules complémentaires. Mais dans la plupart des cas, les utilisateurs gaspillent leur potentiel et utilisent d'autres outils qui redondent parfois dans les possibilités que le système offre déjà nativement. Eh bien, aujourd'hui, nous allons parler de journaux, même s'il faudrait plus d'un article pour entrer dans ce monde de manière avancée, nous en présenterons quelques notions de base et comment ils peuvent nous aider sur le plan technique, la sécurité, etc. .

Vous pouvez y accéder avec seulement aller dans le répertoire / var / log système, et vous y trouverez une série de sous-répertoires et de fichiers très intéressants avec des informations très précieuses, des erreurs pour détecter et corriger les problèmes système ou matériel, à d'autres informations telles que les accès que votre système a eu pour détecter, par exemple, les intrus qui sont entrés sans votre consentement. En effet, ces logs sont généralement supprimés ou modifiés par les attaquants afin de ne pas laisser un enregistrement ou une trace de leur accès.

Que pouvons-nous trouver dans / var / log? Eh bien, nous pouvons trouver une série de sous-répertoires tels que:

• / var / log / message: journal des messages généraux du système.
• /var/log/auth.log: journal d'authentification.
• /var/log/kern.log: journal du noyau, très utile pour détecter les problèmes du noyau.
• /var/log/cron.log: journal de l'outil crond
• / var / log / maillog: journal du serveur de messagerie.
• / var / log / qmail: journal Qmail.
• / var / log / httpd: accès au serveur Web Apache et journal des erreurs
• / var / log / lightpd - Accès Lighttpd et journal des erreurs.
• /var/log/boot.log: journal de démarrage du système, si des problèmes surviennent au démarrage, c'est là que nous devons aller.
• /var/log/mysqld.log: journal de la base de données MySQL.
• / var / log / secure: journal d'authentification, très important pour la sécurité, puisque vous pourrez voir ce qui fait référence à l'authentification du système.
• / var / log / utmp ou / var / log / wtmp: journal du journal.

Par exempleSi vous voulez savoir si quelqu'un s'est authentifié dans le système, vous pourrez voir les dates et heures de connexion effectuées à distance par SSH à partir du réseau, ce dont de nombreux attaquants profitent s'ils ont obtenu votre nom d'utilisateur et votre mot de passe. pour pénétrer l'ordinateur à distance:

cd /var/log

grep sshd/var/log/auth.log | less

Avec cela, vous filtrez les sessions par SSH, mais vous pouvez utiliser un chat ou un éditeur de texte pour voir le journal complet si vous le souhaitez ...