CentOS Stream 8日志分析工具推荐
小樊
39
2026-01-06 00:57:43
CentOS Stream 8日志分析工具推荐
一 系统自带与轻量工具
- journalctl:查询与管理 systemd 日志,常用命令示例:按时间过滤 journalctl -S “2025-01-01” -U “2025-01-02”;按服务 journalctl -u sshd;实时跟踪 journalctl -f;仅看内核 journalctl -k;按优先级 journalctl -p err。
- /var/log 文件 + grep/awk/sed:直接查看文本日志,如 less /var/log/messages、grep “Failed password” /var/log/secure。
- rsyslog:系统默认日志服务,支持本地写入与远程转发,便于集中化收集。
- logrotate:日志轮转与压缩,配置文件位于 /etc/logrotate.conf 与 /etc/logrotate.d/,防止日志无限增长。
- Lnav:终端日志导航器,自动高亮错误/警告,适合多文件联查。
- GoAccess:实时分析 Nginx/Apache 访问日志,生成 HTML 报表。
- Multitail:多窗口实时 tail,便于并行观察多个日志。
- Swatch:基于关键字的日志监控与告警。
以上工具均为 CentOS Stream 8 常用组合,覆盖本地排查、实时查看与轻量分析场景。
二 集中式与可视化平台
- ELK Stack(Elasticsearch + Logstash + Kibana):集中采集、解析、存储与可视化,适合多机房的统一日志平台。
- Graylog:开箱即用的日志聚合与告警平台,支持 Docker 快速部署。
- Splunk:商业级平台,搜索、监控与可视化能力强,免费版有 每日 500MB 额度。
- Datadog:云原生监控与日志一体化,集成 APM 与丰富仪表盘。
- Wazuh:基于 ELK 的安全监控平台,集成 HIDS 主机入侵检测与合规审计。
这些方案适合中大型环境与合规审计需求,提供强大的检索、可视化与告警能力。
三 安全审计与性能关联分析
- Auditd:内核级审计框架,记录文件访问、用户命令等敏感操作;示例:监控 /etc/passwd 变更
- 添加规则:auditctl -w /etc/passwd -p wa -k passwd_change
- 查询审计日志:ausearch -k passwd_change -i
- Sysstat:收集 CPU、内存、磁盘 I/O 等性能指标,便于将性能异常与日志告警关联定位。
- atop:按周期采样系统资源与进程,日志默认写入 /var/log/atop,便于故障回溯与性能根因分析。
以上工具适合安全合规与性能问题联动排查。
四 快速上手与配置建议
- 本地快速排查组合:journalctl -xe、tail -f /var/log/messages /var/log/secure、配合 grep/awk 关键字过滤。
- 持久化 systemd 日志:编辑 /etc/systemd/journald.conf,将 Storage=persistent,重启 systemd-journald 后重启不丢日志。
- 启用日志轮转:在 /etc/logrotate.d/ 为关键日志创建策略(如按日轮转、保留 7–30 天、压缩)。
- 集中化采集:使用 rsyslog 将本机日志发送至远程 ELK/Graylog/Splunk 聚合节点,统一检索与告警。
- 安全审计起步:先用 Auditd 监控关键文件与命令,再用 ausearch 检索审计事件,结合业务日志做关联分析。
以上步骤覆盖从单机到集中化、从故障排查到审计合规的常见落地路径。