logging

Question 1

Welche logging daemons gibt es?

Answer 1

syslogd
syslog-ng
rsyslog
journald

Question 2

Wo liegt das config file für rsyslog ?

Answer 2

/etc/rsyslog.conf
oder
/etc/rsyslog.d/

Question 3

Für was ist das Verzeichnis…
/var/spool/rsyslog/ ?

Answer 3

rsyslog verwendet dieses Verzeichnis normalerweise als Zwischenspeicher für Protokolle, bevor sie an ihre endgültigen Ziele weitergeleitet werden.

Question 4

in welches Verzeichnis werden normalerweise logs geschrieben ?

Answer 4

/var/log/
da es sich um variable Daten handelt.

Question 5

Was zeigen die Logs…

/var/log/wtmp

und wie werden sie abgefragt ?

Answer 5

Erfolgreiche Anmeldungen.
Log im Binärformat.
wird mit who wtmp abgefragt.

Question 6

was zeigt das Log…
/var/log/btmp
und wie wird es abgefragt ?

Answer 6

Fehlgeschlagene Anmeldeversuche, z.B. Brute-Force-Angriffe über ssh.
Log im Binärformat.
wird mit utmpdump oder last -f abgefragt

Question 7

Was zeigt das Log..
/var/log/faillog
und wie wird es abgefragt ?

Answer 7

Fehlgeschlagene Authentifizierungsversuche.
Log im Binärformat.
wird mit faillog -a abgefragt

Question 8

Wie werden Logs erzeugt ?

Answer 8

Anwendungen/Dienste/Kernel schreiben Nachrichten in spezielle Dateien.
z.B. /dev/log oder /dev/kmsg.

rsyslogd holt die Informationen aus den Sockets oder Speicherpuffern.

Abhängig von den Regeln in /etc/rsyslog.conf
verschiebt rsyslogd die Informationen in die entsprechende Protokolldatei, normalerweise /var/log.

Question 9

In welchen 3 Sectionen ist rsyslog.conf unterteilt ?

Answer 9

Modules
Global Directives
Rules

Question 10

In welcher Section wird das senden, bzw empfangen von Logs definiert, falls die Logs auf einen entfernten Server geschickt werden ?

Answer 10

Modules

Server config

provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514
	
provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

…
Client config

*.* @@suseserver:514
oder
*.* @@192.168.0.1:514

…
@ steht für UDP
@@ steht für TCP

Question 11

Wie lautet die syntax für die Regeln ?

Answer 11

facility.priority.action

Question 12

Wie lauten die einzelnen Warnstufen der priority ?

Answer 12

0 emerg,panic (System ist unbrauchbar)
1 alert (Sofortige Maßnahmen erforderlich)
2 crit (Kritischer Zustand)
3 err, error (Fehlerzustand)
4 warn,warning (Warnung)
5 notice (Normaler aber signifikanter Zustand)
6 info (Information)
7 debug (Debug-Level-Meldungen)

Question 13

Erkläre…
*.*;auth,authpriv.none -/var/log/syslog

Answer 13

Alle Facilities (*) - außer ;auth,authpriv.none
und jede Priorität (.*) und somit alle Meldungen
gehen nach /var/log/syslog.

Semikolon (;) trennt den Selektor auf für (Suffix .none)
Minuszeichen (-) vor dem Pfad verhindert übermäßige Schreibvorgänge auf der Festplatte.

Question 14

Erkläre…

*.=debug;\
auth,authpriv.none;\
news.none;mail.none 

-/var/log/debug

Answer 14

Nachrichten von allen Einrichtungen mit der Priorität debug und keiner anderen (=) werden nach /var/log/debug geschrieben
Mit Ausnahme aller Nachrichten, die von den Einrichtungen auth, authpriv, news und mail kommen
(beachte die Syntax: ;\).

Question 15

Welcher command logged manuell in
/var/log/syslog
oder
/var/log/messages
(falls die Protokollierung auf remote server geschickt wird)

Answer 15

logger
z.B. praktisch zum verwenden in Skripts
logger -t Backup "Datensicherung ausgeführt"

Question 16

Was macht das Programm logrotate

Answer 16

komprimiert und rotiert logs, damit diese nicht zu groß werden

Question 17

Wo liegt das config file für logrotate ?

Answer 17

/etc/logrotate.conf
oder
/etc/logrotate.d/

Question 18

Wie und wann wird logrotate ausgeführt ?

Answer 18

logrotate liest die Konfigurationsdatei /etc/logrotate.conf und wird als automatisierter Prozess oder Cron-Job täglich durch das Skript /etc/cron.daily/logrotate ausgeführt.

Question 19

Wie funktioniert logrotate ?

Answer 19

1. /var/log/messages.4.gz wird gelöscht und geht verloren.
2. Der Inhalt von messages.3.gz wird nach messages.4.gz verschoben.
3. Der Inhalt von messages.2.gz wird nach messages.3.gz verschoben.
4. Der Inhalt von messages.1 wird nach messages.2.gz verschoben.
5. Der Inhalt von messages wird nach messages.1 verschoben —
6. /var/log/messages ist leer und bereit, neue Protokolleinträge aufzunehmen.

Question 20

Was bedeuten die folgenden infos in einer logrotate.conf ?

/var/log/messages
{
weekly
rotate 4
missingok
notifempty
compress
delaycompress
postrotate
invoke-rc.d rsyslog rotate > /dev/null
endscript
}

Answer 20

weekly - rotiert logs wöchentlich
rotate 4 - Bewahrt logs von 4 Wochen
missingok - Keine Fehlermeldung ausgeben wenn die logdatei fehlt
notifempty - nicht rotieren wenn das log leer ist.
compress - log mit gzip komprimieren
delaycompress - komprimierung auf den nächsten RotationsZyklus verschieben

Question 21

Lese das log /var/log/syslog.7.gz
Welche commands verwendest du ?

Answer 21

zless /var/log/syslog.7.gz
oder
zmore /var/log/syslog.7.gz

Question 22

Lese /var/log/syslog dynamisch

Answer 22

tail -f /var/log/syslog

Question 23

Lese /var/log/faillog

Answer 23

faillog -a

Question 24

Welche Regeln würden Sie zu /etc/rsyslog.conf hinzufügen, um folgende Aufgaben zu erfüllen:

◦ Alle Nachrichten der Facility mail mit einer Priorität/Schwere von crit (und höher) nach /var/log/mail.crit senden:

Answer 24

mail.crit /var/log/mail.crit

Question 25

Welche Regeln würden Sie zu /etc/rsyslog.conf hinzufügen, um folgende Aufgaben zu erfüllen: Alle Nachrichten der Facility mail mit den Prioritäten alert und emergency nach /var/log/mail.urgent senden:

Answer 25

`mail.alert /var/log/mail.urgent` ... weil nach alert kommt nur mehr emergency daher muss nur alert angegeben werden. Priorität ist hierarchisch inklusiv, was bedeutet, dass rsyslog Nachrichten mit der angegebenen Priorität und auch alle mit höherer Priorität gesendet werden

Question 26

Welche Regeln würden Sie zu /etc/rsyslog.conf hinzufügen, um folgende Aufgaben zu erfüllen: Alle Nachrichten (unabhängig von Facility und Priorität) nach /var/log/allmessages senden, außer jenen, die von den Facilities cron und ntp kommen:

Answer 26

`*.*;cron.none;ntp.none /var/log/allmessages`

Question 27

Welche Regeln würden Sie zu /etc/rsyslog.conf hinzufügen, um folgende Aufgaben zu erfüllen: Sofern alle erforderlichen Einstellungen richtig konfiguriert sind, alle Nachrichten der Facility mail an einen entfernten Host mit der IP-Adresse 192.168.1.88 unter Verwendung von TCP und Angabe des Standardports senden:

Answer 27

`mail.* @@192.168.1.88:514`

Question 28

Welche Regeln würden Sie zu /etc/rsyslog.conf hinzufügen, um folgende Aufgaben zu erfüllen: Alle Meldungen mit der Priorität warning (und zwar nur warning) unabhängig von ihrer Facility nach /var/log/warnings schreiben, um übermäßiges Schreiben auf die Festplatte zu verhindern:

Answer 28

`*.=warning -/var/log/warnings`