лабораторная работа 7.3.2. БКС_7.3.2.5. Отчет по лабораторной работе Чтение журналов сервера СанктПетербург 2022 г. Чтение журналов сервера Задачи
 Скачать 0.94 Mb.
|
$ sudo journalctl – f
$ sudo journalctl -u nginx.service --since today
$ sudo journalctl –utc
$ sudo cat /var/log/syslog.4
$ sudo cat /var/log/syslog.2
]$ echo "this is a new entry to the monitored log file" >> lab.support.files/logstash-tutorial.log
$ tail /home/analyst/lab.support.files/logstash-tutorial.log
$ more /home/analyst/lab.support.files/logstash-tutorial.logДисциплина Безопасность компьютерных сетей Отчет по лабораторной работе Чтение журналов сервера Санкт-Петербург 2022 г. Чтение журналов сервера Задачи Часть 1. Чтение файлов журналов с использованием программ Cat, More и Less Часть 2. Файлы журналов и Syslog Часть 3. Файлы журналов и Journalctl Общие сведения и сценарий Файлы журналов являются важным средством для поиска и устранения неполадок и проведения мониторинга. Разные приложения создают различные файлы журналов, каждый из которых содержит собственный набор полей и информации. Структура полей может различаться между файлами журналов, но средства, используемые для их чтения, в основном одинаковы. В этой лабораторной работе вы узнаете о наиболее распространенных средствах чтения файлов журналов и научитесь использовать их. Чтение файлов журналов с использованием программ Cat, More и Less Файлы журналов представляют собой файлы, используемые для записи определенных событий, вызванных приложениями, службами или самой операционной системой. Обычно файлы журналов хранятся в виде обычного текста и незаменимы для поиска и устранения неполадок. Открытие файлов журналов. Файлы журналов обычно содержат информацию, представленную в виде обычного текста, который можно просмотреть практически в любой программе, пригодной для обработки текста (например, текстовых редакторах). Однако некоторые средства используются чаще других благодаря их удобству и быстродействию. В этом разделе рассматриваются четыре программы, запускаемые из командной строки: cat, more, less и tail. CAT, производное от слова concatenate (сцепить), — инструмент, запускаемый из командной строки UNIX. Используется для чтения и вывода содержимого файла на экран. Благодаря простоте и возможности открыть текстовый файл, отображая его содержимое на терминале, работающем только в текстовом режиме, cat широко используется по сей день. Запустите ВМ рабочей станции CyberOps и откройте окно терминала. Из окна терминала выполните приведенную ниже команду для отображения содержимого файла logstash-tutorial.log, который находится в папке /home/analyst/lab.support.files/. analyst@secOps |
Из того же окна терминала воспользуйтесь приведенной ниже командой для отображения содержимого файла logstash-tutorial.log повторно. На этот раз с использованием more:
Содержимое файла должно прокручиваться в окне терминала, пока не будет показана одна страница. Нажмите клавишу пробела, чтобы перейти к следующей странице. Нажмите клавишу Enter (Ввод), чтобы показать следующую строку текста.
Что является недостатком использования more?
Основываясь на функциональных возможностях cat и more, инструмент less позволяет показывать содержимое файла страницу за страницей, одновременно позволяя пользователю просматривать ранее отображавшиеся страницы.
Из того же окна терминала воспользуйтесь средством less для показа содержимого файла logstash-tutorial.log повторно.
analyst@secOps
Команда tail отображает конец текстового файла. По умолчанию tail отображает последние десять строк файла.
218.30.103.62 - - [04/Jan/2015:05:28:43 +0000] "GET /blog/geekery/xvfb-firefox.html HTTP/1.1" 200 10975 "-" "Sogou web spider/4.0(+http://www.sogou.com/docs/help/webmasters.htm#07)"
218.30.103.62 - - [04/Jan/2015:05:29:06 +0000] "GET /blog/geekery/puppet-facts-into-mcollective.html HTTP/1.1" 200 9872 "-" "Sogou web spider/4.0(+http://www.sogou.com/docs/help/webmasters.htm#07)"
198.46.149.143 - - [04/Jan/2015:05:29:13 +0000] "GET /blog/geekery/disabling-battery-in-ubuntu-vms.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+semicomplete%2Fmain+%28semicomplete.com+-+Jordan+Sissel%29 HTTP/1.1" 200 9316 "-" "Tiny Tiny RSS/1.11 (http://tt-rss.org/)"
198.46.149.143 - - [04/Jan/2015:05:29:13 +0000] "GET /blog/geekery/solving-good-or-bad-problems.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+semicomplete%2Fmain+%28semicomplete.com+-+Jordan+Sissel%29 HTTP/1.1" 200 10756 "-" "Tiny Tiny RSS/1.11 (http://tt-rss.org/)"
218.30.103.62 - - [04/Jan/2015:05:29:26 +0000] "GET /blog/geekery/jquery-interface-puffer.html%20target= HTTP/1.1" 200 202 "-" "Sogou web spider/4.0(+http://www.sogou.com/docs/help/webmasters.htm#07)"
218.30.103.62 - - [04/Jan/2015:05:29:48 +0000] "GET /blog/geekery/ec2-reserved-vs-ondemand.html HTTP/1.1" 200 11834 "-" "Sogou web spider/4.0(+http://www.sogou.com/docs/help/webmasters.htm#07)"
66.249.73.135 - - [04/Jan/2015:05:30:06 +0000] "GET /blog/web/firefox-scrolling-fix.html HTTP/1.1" 200 8956 "-" "Mozilla/5.0 (iPhone; CPU iPhone OS 6_0 like Mac OS X) AppleWebKit/536.26 (KHTML, like Gecko) Version/6.0 Mobile/10A5376e Safari/8536.25 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"
86.1.76.62 - - [04/Jan/2015:05:30:37 +0000] "GET /projects/xdotool/ HTTP/1.1" 200 12292 "http://www.haskell.org/haskellwiki/Xmonad/Frequently_asked_questions" "Mozilla/5.0 (X11; Linux x86_64; rv:24.0) Gecko/20140205 Firefox/24.0 Iceweasel/24.3.0"
86.1.76.62 - - [04/Jan/2015:05:30:37 +0000] "GET /reset.css HTTP/1.1" 200 1015 "http://www.semicomplete.com/projects/xdotool/" "Mozilla/5.0 (X11; Linux x86_64; rv:24.0) Gecko/20140205 Firefox/24.0 Iceweasel/24.3.0"
86.1.76.62 - - [04/Jan/2015:05:30:37 +0000] "GET /style2.css HTTP/1.1" 200 4877 "http://www.semicomplete.com/projects/xdotool/" "Mozilla/5.0 (X11; Linux x86_64; rv:24.0) Gecko/20140205 Firefox/24.0 Iceweasel/24.3.0"
Активное отслеживание журналов.
В некоторых случаях желательно вести мониторинг файлов журналов по мере внесения записей в файлы журналов. В этих случаях очень полезна команда tail -f.
Используйте tail -f для активного отслеживания содержимого файла /var/log/syslog.
analyst@secOps
Для просмотра tail –f в действии откройте второе окно терминала. Организуйте дисплей таким образом, чтобы видеть оба окна терминала. Измените размеры окон, чтобы видеть оба одновременно, как показано на рисунке ниже.
Выберите нижнее окно терминала и введите следующую команду:
Приведенная выше команда добавляет в файл /home/analyst/lab.support.files/logstash-tutorial.log сообщение "this is a new entry to the monitored log file" (это новая запись в отслеживаемый файл журнала). Поскольку tail –f отслеживает файл в данный момент, в файл добавляется строка. В верхнем окне новая строка должна отображаться в режиме реального времени.
Нажмите CTRL + C, чтобы остановить выполнение tail -f и вернуться в командную строку.
Закройте одно из двух окон терминала.
Файлы журналов и системный журнал
Из-за их важности файлы журналов обычно размещаются на одном отслеживающем компьютере. Syslog — это система, цель которой — позволить устройствам отправлять свои файлы журналов на центральный сервер, известный как сервер syslog. Клиенты обмениваются данными с сервером syslog с использованием протокола syslog. Syslog разворачивается часто, он совместим практически со всеми вычислительными платформами.
Виртуальная машина рабочей станции CyberOps создает файлы журналов на уровне операционной системы и передает их в syslog.
Используйте команду cat как root для отображения содержимого файла /var/log/syslog.1. Этот файл содержит записи журналов, создаваемые операционной системой виртуальной машины рабочей станции CyberOps и отправленные в службу syslog.
analyst@secOps
Обратите внимание, что в файле /var/log/syslog хранятся только недавние записи журнала. Для того чтобы размер файла syslog оставался небольшим, операционная система периодически выполняет ротацию файлов журналов, переименовывая старые файлы журналов в syslog.1, syslog.2 и т. д.
analyst@secOps
Можете ли вы назвать причины, по которым так важно правильно синхронизировать время и дату компьютеров?
Если на компьютере будет настроены неправильные дата и время, мы не сможем понять, когда именно произошло то или иное событие, записанное в журнале. Некоторые приложения и вовсе не смогут функционировать.
Файлы журналов и Journalctl
Другая популярная система управления журналами называется journal. Управляется служебной программой journald, предназначена для централизованного управления журналами, независимо от источника сообщений. В контексте данной лабораторной работы самая заметная особенность управляющей программы системы journal заключается в использовании только добавляемых двоичных файлов, служащих в качестве файлов журналов.
Запуск journalctl без параметров.
Для того чтобы найти журналы journald, используйте команду journalctl. Средство journalctl интерпретирует и отображает записи журнала, которые ранее хранились в двоичных файлах журналов journal.
analyst@secOps
Используйте journalctl -b для отображения записей журнала, записанных во время последней загрузки.
analyst@secOps
Используйте параметр -k для показа только сообщений, созданных ядром.
analyst@secOps