Debian 的日志体系由内核日志、systemd-journald 与 rsyslog/syslog-ng 共同构成：内核与启动信息由 dmesg 与内核日志提供，用户态与服务的结构化日志由 journald/journalctl 管理，传统的文本日志由 rsyslog（默认）或 syslog-ng 写入 /var/log。常见日志路径包括：/var/log/syslog（综合日志）、/var/log/auth.log（认证与授权）、/var/log/kern.log（内核）、以及 /var/log/dmesg（内核环缓冲）。这些组件协同工作，既满足本地排查，也便于集中化与长期留存。
常用查看与过滤命令
- 查看与实时跟踪
- 查看全部日志：journalctl
- 实时跟踪：journalctl -f
- 查看本次启动：journalctl -b；上一次启动：journalctl -b -1
- 查看内核日志：journalctl -k
- 按服务、时间与优先级
- 按服务：journalctl -u nginx.service
- 按时间：journalctl --since “2025-12-01 00:00:00” --until “2025-12-01 12:00:00”
- 按优先级：journalctl -p err（或数字 0–7）
- 关键字与结构化字段
- 关键字：journalctl | grep “ERROR”
- 按进程：journalctl _PID=1234
- 按用户：journalctl _UID=1000
- 传统文件与内核环缓冲
- 实时查看系统日志：tail -f /var/log/syslog
- 认证日志：less /var/log/auth.log
- 内核环缓冲：dmesg -T | tail（需要时加 -T 转为可读时间）
以上命令覆盖日常排障与安全审计的高频场景，可组合使用以快速定位问题。
配置与管理要点
- rsyslog 基础
- 主配置：/etc/rsyslog.conf 与 /etc/rsyslog.d/*.conf
- 修改后生效：sudo systemctl restart rsyslog
- 开机自启：sudo systemctl enable rsyslog
- 远程日志
- 发送（UDP）示例：在客户端添加规则 “*.info @192.0.2.10:514”
- 接收（服务器端）示例：取消注释并加载模块
- module(load=“imudp”) input(type=“imudp” port=“514”)
- module(load=“imtcp”) input(type=“imtcp” port=“514”)
- 防火墙放行（UFW）：sudo ufw allow 514/tcp 与 sudo ufw allow 514/udp
- 日志轮转
- 使用 logrotate 管理 /var/log 下日志的按日/按大小切分与压缩，避免磁盘被占满
- 日志清理（journald）
- 保留最近 100MB：journalctl --vacuum-size=100M
- 保留最近 2 周：journalctl --vacuum-time=2weeks
以上步骤覆盖本地与集中式日志的常见部署与管理动作，适用于从单机到中小规模集群的落地。
事件管理与分析工具
- 命令行与文本处理
- grep/awk/sed：快速筛选、统计与清洗日志，例如统计错误数：awk ‘/error/ {count++} END {print “Total errors:”, count}’ /var/log/syslog
- 报表与告警
- logwatch：生成每日/周期日志摘要报告，便于例行巡检
- logcheck：自动分析日志异常并通过邮件提醒，适合安全事件初筛
- 集中化平台
- ELK Stack（Elasticsearch/Logstash/Kibana）、Graylog、Splunk：用于大规模日志的采集、检索、可视化与告警，适合多主机与合规审计场景
上述工具从轻量报表到企业级平台，可按数据量与复杂度分层选型。
安全事件处理流程
- 检测与定位
- 聚焦 /var/log/auth.log（SSH 登录失败、提权等）与关键服务日志，结合 journalctl -u 与关键字检索快速还原事件时间线
- 告警与响应
- 通过 logcheck 或集中平台的规则引擎设置阈值与通知，出现暴力登录、异常进程等即触发告警
- 处置与加固
- 依据预案执行隔离、下线、取证与修复；随后进行系统与安全更新（如升级至 Debian 12.7 等稳定安全版本）、更改凭据与修补漏洞
- 留存与复盘
- 确保 logrotate 与 journald 的保留策略满足合规要求，沉淀告警与处置记录以便复盘
该流程强调“检测—告警—响应—加固—复盘”的闭环，兼顾效率与可追溯性。