Administración avanzada de GNU/Linux (PDF) - SW Computación

Administración avanzada de GNU/Linux
ª FUOC • XP04/90785/00019
creadores del Nmap mantienen una lista de herramientas votadas por
los usuarios.
9.8. Análisis logs
Dando una visión sobre los ficheros de log [Ano99][Fri02], podemos
hacernos una idea rápida del estado global del sistema, así como de
las últimas ocurrencias, y detectar accesos (o intentos) indebidos.
Cuidado, los logs, si ha habido una intrusión real, pueden haber sido
limpiados o falseados. La mayoría de archivos de log residen en el
directorio /var/log.
Muchos de los servicios pueden poseer logs propios, que normalmente
se establecen en la configuración (mediante el correspondiente
fichero de configuración). La mayoría suelen utilizar las
facilidades de log incorporadas en el sistema Syslog, mediante el
demonio Syslogd. Su configuración reside en /etc/syslog.conf. Esta
configuración suele establecerse por niveles de mensajes: existen
diferentes tipos de mensajes según su importancia. Normalmente
suelen aparecer niveles debug, info, err, notice, warning, err, crit,
alert, emerg, en que más o menos ésta sería la ordenación de importancia
de los mensajes (de menor a mayor). Normalmente, la mayoría
de los mensajes se dirigen al log /var/log/messages, pero puede
definirse que cada tipo vaya a ficheros diferentes y también se puede
identificar quién los ha originado; típicamente el kernel, correo,
news, el sistema de autentificación, etc.
Por lo tanto, cabe examinar (y en todo caso adaptar) la configuración
de Syslog para conocer en qué logs podemos encontrar/
generar la información. Otro punto importante es controlar su
crecimiento, ya que según los que estén activos y las operaciones
(y servicios) que se realicen en el sistema, los logs pueden crecer
bastante. En Debian y Red Hat se controla a través de logrotated, un
demonio que se encarga periódicamente de hacer copias y comprimirlas
de los logs más antiguos, se puede encontrar su configuración
general en /etc/logrotate.conf, algunas aplicaciones hacen
configuraciones específicas que se pueden encontrar en el directorio
/etc/logrotate.d.
ANOTACIONES
379