Linux 日誌管理精要：Syslog 架構、配置與實戰分析技巧

日誌是系統的「黑盒子」，也是管理員的「聽診器」。嚴謹的日誌管理，能將故障排查時間從小時壓縮到分鐘。本文系統梳理 Syslog 架構、日誌檔案結構、配置策略與高效分析技巧，構建企業級日誌管理基線。

一、Syslog 架構：統一收集、分類路由、持久化存儲

Linux 核心子系統（網路、檔案系統、記憶體管理等）產生海量訊息，需統一送達可維護的公共訊息區。Syslog 守護進程承擔此職責：

• 接收核心與各程式發送的訊息
• 依據設備與優先級分類路由
• 寫入對應日誌檔案（通常在 /var/log/）

二、日誌訊息結構：四欄固定格式

每行一條訊息，四欄組成：

特殊訊息： MARK 訊息每 20 分鐘產生一次，確認系統存活（心跳訊號），亦可用於事後推算死機時間點。

三、核心配置檔：/etc/syslog.conf（或 /etc/rsyslog.conf）

規則由選擇器與動作組成，每行一條：

selector    action

• 選擇器 = 設備.優先級，支援通配符 * 與逗號分隔多值
• 設備：kern、user、mail、daemon、auth、syslog、lpr、news、uucp、cron、authpriv、ftp、local0-7
• 優先級（由高到低）：emerg(0)、alert、crit、err、warning、notice、info、debug(7)
• 動作：檔案路徑、具名管道、終端機、遠端主機、特定用戶

配置範例解析

*.info;*.notice                 /usr/adm/messages
*.debug                         /usr/adm/debug
*.err                           /usr/adm/syslog

• 第一行：所有設備的 info 與 notice 級別 → messages
• 第二行：所有設備 debug 級別 → debug
• 第三行：所有設備 err 級別 → syslog

配置生效：

killall -HUP syslogd  # 發送 SIGHUP 重讀配置

四、高效日誌分析三板斧

1. 分頁瀏覽：less /var/log/messages（支援搜尋 /keyword、向上翻頁）
2. 關鍵字過濾：grep "error" /var/log/messages、grep -i "failed" /var/log/secure
3. 即時追蹤：tail -f /var/log/messages（新增行即時顯示，排查進行中故障神器）

五、進階管理建議

• ✅ 集中日誌：部署 rsyslog/syslog-ng 將所有主機日誌轉發至中央日誌伺服器，統一存儲、審計、告警
• ✅ 日誌輪替：配合 logrotate（參考前文）防止磁碟寫滿
• ✅ 結構化日誌：關鍵服務（nginx、docker、k8s）輸出 JSON 格式，便於 ELK/EFK 堆疊分析
• ✅ 保留策略：依合規要求設定保留天數（30/90/365 天），定期歸檔冷存儲
• ✅ 權限最小化：日誌目錄僅 root 可讀，防止敏感資訊洩露

六、實戰場景：從日誌定位 SSH 暴力破解

grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr | head -20

輸出攻擊來源 IP 及嘗試次數，配合 Fail2ban/iptables 秒級封禁。

日誌管理不是事後諸葛亮，而是預防性醫學。建立「收集→分類→輪替→分析→告警」閉環，讓系統在故障發生前就發出訊號。