Ubuntu日志中有哪些重要提示 - 问答

Ubuntu日志中的重要提示清单

一核心日志文件与关键提示

日志文件	关键提示关键词	典型用途
/var/log/auth.log	Failed password、Accepted password、session opened/closed、sudo	发现SSH暴力破解、异常登录、权限提升
/var/log/syslog	error、fail、critical、服务重启/崩溃	系统级异常、守护进程故障、启动/关机过程
journald（journalctl）	优先级：err、crit；单元：-u ssh；时间：–since/–until	按服务/时间/级别快速定位故障
/var/log/kern.log	error、I/O error、驱动报错	内核与驱动问题、硬件层告警
/var/log/dmesg	error、panic、外设初始化失败	开机自检、硬件故障、内核环形缓冲
/var/log/faillog	用户失败计数、最近失败时间	账户被暴力尝试的量化统计
/var/log/lastlog	最近登录时间（用 lastlog 命令查看）	账户最近活跃度核对
/var/log/wtmp	登录/注销记录（用 last 命令查看）	历史会话审计
/var/log/ufw.log	被拒连接（DENIED）	防火墙拦截与可疑访问
/var/log/apt/、/var/log/dpkg.log	upgrade/install/remove、依赖错误	软件安装/升级失败、回滚原因
/var/log/apport.log	crash、段错误	应用崩溃取证与复现线索
/var/log/nginx/access.log、/var/log/apache2/access.log	4xx/5xx、异常 User-Agent、SQL 注入特征	Web 攻击与异常流量识别
/var/log/audit/audit.log（需安装 auditd）	USER_CMD、USER_AUTH、文件访问	细粒度命令/文件访问审计
以上文件与提示词覆盖了认证安全、系统运行、内核硬件、软件变更与Web访问等核心维度，是日常巡检与应急响应的重点。

二高频危险信号与处置要点

短时间内大量 Failed password（如同一来源 IP 多次尝试）或针对 root 的爆破：优先封禁来源 IP，启用 Fail2ban，并改用密钥登录、禁用 root 远程登录。
Accepted password 后出现 sudo 提权或异常命令执行：核对是否为合法维护，必要时回滚变更、强制下线可疑会话并重置凭据。
SSH 服务被 killed 后迅速 restarted：可能存在“清会话/掩盖痕迹”行为，检查是否有异常进程、临时关闭不必要服务并加固。
No space left on device（磁盘满）：立刻清理大文件/旧日志、扩容磁盘或迁移数据，避免系统与服务不可用。
Read-only file system（只读文件系统）：多为磁盘/文件系统错误，检查 dmesg、文件系统一致性并尽快修复，避免数据损坏。
Too many open files（打开文件过多）：排查进程泄漏或配置限制（ulimit/fd），必要时调优服务与内核参数。
Permission denied（权限拒绝） 在关键路径（如 /etc/shadow、证书目录）：核查文件属主/权限与进程运行身份，防止配置错误或被篡改。
DENIED 记录频繁出现在 ufw.log：确认是否为正常策略拦截，若异常则调整防火墙规则并溯源来源。
crash 记录于 apport.log：收集崩溃报告、核心转储与版本信息，定位触发路径并升级/回退修复。
Web 日志出现 4xx/5xx 爆发、SQL 注入特征（select/union/insert）、可疑 User-Agent：启用 WAF/ModSecurity、限速限流、封禁来源并修补应用漏洞。

三快速排查命令与定位路径

当前启动的错误：执行 journalctl -p err -b；按服务查看：journalctl -u ssh；按时间窗：journalctl --since “2025-05-22 08:00:00” --until “2025-05-22 10:00:00”。
认证与登录：查看失败与成功登录 grep “Failed password” /var/log/auth.log、grep “Accepted password” /var/log/auth.log；统计失败账户 faillog；查看最近登录 lastlog、历史会话 last。
系统/内核：实时看系统消息 tail -f /var/log/syslog；内核与驱动 dmesg | grep -i error；内核日志 tail -f /var/log/kern.log。
软件变更：安装/升级/移除 grep -i “upgrade|install|remove” /var/log/apt/history.log；包管理细节 /var/log/dpkg.log；应用崩溃 /var/log/apport.log。
防火墙与 Web：拦截记录 grep “DENIED” /var/log/ufw.log；Web 访问与攻击特征 tail -f /var/log/nginx/access.log 或 /var/log/apache2/access.log。

四长期监控与加固建议

自动化日报与告警：部署 Logwatch 生成每日摘要；结合 Fail2ban 自动封禁暴力破解来源。
日志保留与容量：配置 logrotate（如保留最近 7 个、每日轮转、压缩），防止磁盘被日志撑满。
集中化与可视化：规模较大时引入 ELK（Elasticsearch/Logstash/Kibana）或 Prometheus+Grafana 做实时采集、检索与告警。
审计能力：安装 auditd，用 ausearch 追踪关键文件访问与命令执行，满足合规与取证需求。

0 赞

0 踩