linux开启系统日志审计（Linux上使用lnav监控和分析Apache日志）

请关注本头条号，每天坚持更新原创干货技术文章。

如需学习视频，请在微信搜索公众号“智传网优”直接开始自助视频学习

1. 前言

本文主要讲解如何在Linux上使用lnav监控和分析Apache日志文件，

在本文中，我们将解释如何安装和使用lnav，这是一种高级日志文件查看器。使用lnav，您将能够同时观察几种类型的日志。

2. 在Linux中安装和启动lnav

要安装lnav，请使用你的Linux发行版软件包管理器安装。基于Debian发行版

aptitudeinstalllnav

基于红帽发行版

yuminstallepel-releaselnav

安装完成后，启动lnav，后面跟着要检查的日志所在目录的绝对路径。因为这通常是/var/log，我们这样做:

lnav/var/log/httpd

CentOS 7中使用lnav监控Apache日志

CentOS 7中使用lnav监控Apache日志

3. 使用选项和热键定制化输出内容

以下是关于lnav命令的快捷操作键，提升工作效率。e 或者 E 跳到下一个或者前一个错误信息。w 或者 W 跳到下一个或者前一个告警信息。b 或者 Backspace移动到前一页。空格移动到下一页。g 或者G 移动顶部或底部。

当日志被轮替时，旧文件可能会被压缩(或不压缩)，这取决于在logrotate配置文件中指定的设置。要在输出中包含压缩文件，按如下方式启动lnav:

lnav-r/var/log/httpd

如果你想进一步了解lnav的运行方式，你可以启动程序，在-d选项后面加上一个文件名，调试信息将被写入该文件名，就像这样:

lnav/var/log/httpd-dlnav.txt

在本例中，当lnav启动时生成的调试信息将被写入到当前工作目录中名为lnav.txt的文件中。

该文件的前几行如下图所示:

lnav Debug信息

高亮显示的文本表明lnav加载了默认格式文件，更具体地说，加载了用于解析Apache访问日志的access_log格式。此外，lnav允许解析每个输出行，从而使输出信息更容易可视化和理解。

要使用此功能，请启动程序并选择要解析的行。选中的行总是窗口顶部的行。然后按p，你应该会看到以下结果:

使用lnav查看Apache日志

要回到正常模式，再次按p。

现在，如果您想按日期和时间查看日志摘要，请按i。例如，高亮的显示的文本表明，在4月10日(周一)晚上10点到11点之间，有37个HTTP请求，其中14个请求导致错误。

高亮显示关键字

或者，您也可以通过输入分号和编写标准查询来使用内置的SQL功能。例如,做:

;.schema

以查看数据库中的可用表。在确定正确的数据库表(在我们的示例中是access_log)之后，我们按q，然后使用以下查询返回关于来自195.154.230.31的请求的所有可用信息:

;SELECT*FROMaccess_logWHEREc_ip='195.154.230.31'

查询特定关键字的信息

注意，我们还可以使用log_time来过滤结果。关键是，结合SQL，你就可以用lnav做任何事情。

4. Apache默认日志格式

许多日志格式在默认情况下是用lnav加载的，因此无需我们的干预就可以进行解析。您可以在官方文档的日志格式部分查看该列表。默认的格式在这里指定~/.lnav/formats/default/default-formats.JSON.sample，其它可以使用.json扩展添加到~/.lnav/formats，

然而，编辑这些文件需要对JSON (Javascript对象表示法)和PCRE(与perl兼容的正则表达式)库有一定的了解。

那么为什么lnav不显示Apache错误日志文件呢?原因是这些日志与现有格式文件中的任何正则表达式不匹配，因此被视为常规文本文件(即没有给定日志格式的文件)。

5. 总结

正如前面提到的，只要您对JSON和PCRE有一定的了解，就可以创建自己的格式。例如，如果您定义了自定义Apache日志，这将非常方便。

尽管我们使用Apache访问日志来演示如何使用lnav，但请记住，还有其他几种类型的日志可以使用这个工具来查看和解析。如果该工具不能识别特定的日志，您可以创建其他格式并按照这里提供的指示安装它们。

如果你有更好的工具分享，请留言。

本文已同步至博客站，尊重原创，转载时请在正文中附带以下链接：https://www.linuxrumen.com/cyml/1712.html

点击了解更多，快速查看更多的技术文章列表。