扔掉日志
輪換日志文件
存檔日志文件
2.linux日志
特殊日志文件：
/var/log/wtmp包含用戶登錄系統和退出系統的記錄，也包含了表明系統核實啟動或者關機的記錄項（二進制形式存儲）。使用last命令解讀這些信息。
/var/log/lastlog只記錄每個用戶上次登錄的時間。是一個稀疏的二進制文件，以UID作為索引.
內核和啟動日志：
dmesg命令-----輸出重定向到/var/log/dmesg 或者/var/log/boot.msg(suse)
klogd守護進程----將日志發送到/var/log/messages
dmesg -n 2
initlog-----
logrotate:管理日志文件：savelog
syslog:系統事件的日志程序
體系結構：
- syslogd,日志守護進程（以及配置文件/etc/syslog.conf)
- openlog,將消息提交給syslogd的庫例程
- logger,一條從shell提交日志記錄項的用戶級命令
syslogd進程ID寫入到/var/run/syslogd.pid
修改配置文件后，發送一個掛起信號：kill -HUP `/bin/cat /var/run/syslogd.pid`
配置文件：
1.單機
#syslog.conf file for small network or stand-alone machines
#emergences:tell everyone who is logged on
*.merg *
#important message
*.waring:daemon,auth.info;user:none /var/log/messages
#print errors
lpr.debug /var/log/lpd.errs
2.網絡客戶機
網絡客戶機通常把重要的信息轉發給中央日志記錄主機：
#syslog.conf file for nonmaster machines
#emergencies:tell everyone who is logged in
*.emerg;user.none *
#Forwar important messages to the center logger
*.waring;lpr.local1.none @netloghost
daemon,auth.info @netloghost
#send some local stuff to the center logger too
local2.info;local7.debug @netloghost
#keep printer errors local
lpr.debug /var/log/lpd-errs
#sudo logs to local2 ---keep a copy here too
local2.info /var/log/sudo.log
#keep kernal messager local
kern.info /var/log/kern.log
3.中央日志記錄主機。---大約7000台主機構成的一個中等規模網絡上的中央安全日志主機
#syslog.conf file for master logging host
#Emergencies to the console and log file,with timing marks
*.emerg /dev/console
*.err;kern,mark.debug;auth.notice /dev/console
*.err;kern,mark.debug;user.none /var/log/console.log
auth.notice /var/log/console.log
#send non-emergency messages to the usual log files
*.err;user.none;kern.debug /var/log/messages
daemon,auth.notice;mail.crit /var/log/messages
lpr.debug /var/log/lpd-errs
mail.debug /var/log/mail.log
#local authorization stuff like sudo and npasswd
local2.debug /var/log/sudo.log
local2.alert /var/log/sudo-errs.log
auth.info /var/log/auth.log
#other local stuff
local4.notice /var/log/da.log
local4.debug /var/log/tcp.log
#user stuff
user.info /var/log/user.log
分析日志文件：
swatch
logcheck