Многие администраторы часто вообще игнорируют логи, считая их почему-то ненужными. Наоборот, логи позволяют пролить свет на все события, которые происходят в системе. Рекомендуется просматривать логи хотя бы два раза в день. Если система работает ночью, каждое утро нужно просматривать логи, потому что очень много взломов происходит как раз в это время - когда администратор отдыхает.

     Защита /var/log

     Практически все файлы логов находятся в каталоге /var/log. Первым делом крекер, получивший права root, попытается скрыть следы своего присутствия, модифицировав файлы логов.

     Если используется ACL, можно сделать файлы в каталоге /var/log досягаемыми только для добавления данных. Но в конкретном случае, к сожалению,  больше нельзя будет применять программу logrotate, выполняющую ротацию логов: данной программе можно удалять файлы из каталога /var/log.

     Наиболее безопасное решение - отключить logrotate, учитывая объемы современных жестких дисков, ничего страшного с системой не случится.

     Syslog - демон протоколирования.

     Демон syslog применяется как раз для самого протоколирования. Рассмотрим пример его конфигурационного файла /etc/syslog.conf, взятого из Mandrake Linux 10.

     Как можно заметить, файл конфигурации состоит из двух полей: селектора и действия. Селектор - это объект протоколирования и файл, в который будут записываться сообщения, порождаемые этим объектом.

     Для каждого объекта надо указать один из уровней протоколирования, к примеру debug, info, notice, warn, err. Первые три относятся к информационным сообщениям. Уровень warn - это предупреждения, a err - ошибки. Есть специальные сообщения - критические. Обычно они выводятся прямо на консоль.

     Как для обозначения объектов, так и для обозначения уровней протоколирования нужно применять символ *, который обозначает все объекты или все уровни. К примеру, надо записывать все сообщения демонов в файл /var/log/daemons, тогда можно использовать такую конструкцию:

     Допустимыми являются следующие объекты: auth, authpriv, cron, daemon, kern, lpr, mail, mark, news, syslog, user, uucp, local0 - lосаl7. Уровни протоколирования: debug, info, notice, warning, err, crit, alert и emrg.

     Действие - это просто имя файла, в который надо произвести запись (знак «-» означает, что после записи в файл можно не вызывать sync(), так как это может отрицательно сказаться на производительности). Вместо файла можно указать и другой объект (терминал, имя пользователя или удаленный узел), которому будет отправлено сообщение. Например:

     Чтобы удаленный компьютер получил syslog-сообщения, на нем должен быть запущен syslogd с опцией -r.

     Отправка сообщений на удаленный компьютер - это превосходное решение - ведь хакер не сможет их удалить. Но еще лучше отправлять их на принтер: удалить их будет невозможно (если, конечно, крекер не сделает это, физически находясь за принтером):

     После того, как были произведены все необходимые изменения, надо перезапустить syslog (kill -HUP).

     /var/log/wtmp

     В данном файле содержится информация о том, кто и когда входил в систему и выходил из нее. Для просмотра данного файла применяется несколько утилит (это двоичный файл, поэтому человек его не может просмотреть как обычно).

     Первая утилита - who. Она отображает, кто в данный момент зарегистрирован в системе. Опция -n позволяет показать время простоя:

     Who еще может показать время последней перезагрузки системы (who -b) и время от последнего изменения времени (who -t).

     Вторая утилита - last - отображает список пользователей, которые входили в систему с момента создания файла wtmp:

     Можно также просмотреть, когда входил в систему определенный пользователь, для этого нужно указать имя пользователя в качестве параметра:

     Когда система перезагружается, регистрируется псевдопользователь reboot, что очень удобно. Узнать, когда система перезагружалась, очень просто: