14、系统日志管理与分析全攻略

系统日志管理与分析全攻略

1. 日志管理基础

在系统管理中，事件日志是了解系统运行状态和排查问题的重要依据。Event Log Explorer 是一个实用的工具，它具备自动刷新和强大的过滤功能。通过导航到“View | Auto - refresh”可配置自动刷新，若要更改刷新间隔，可通过“View | Auto - refresh Interval”进行设置；而过滤机制可通过“View | Filter”访问，能帮助我们快速检查系统日志中特定重要事件。不过，它会为每个系统的日志单独显示窗口，在处理大量日志时可能会比较繁琐，但仍优于使用 MMC 中的 Event Viewer。

对于 IIS 日志检查，NTLast 是一个不错的免费工具，可从 www.foundstone.com 获取。但在分析 Windows 事件日志方面，优质的免费解决方案相对较少。建议将 Windows 事件日志转换为 syslog 格式，然后在 Linux 主机上进行分析，这样能提供更多功能和选项，同时具备更好的性能。

1.1 Syslog 日志生成

几乎所有 Linux 系统默认都会配置生成大量日志信息，多数情况下，默认安装就会生成 syslog 日志，并且除非特意禁用，否则 syslog 服务器通常会运行。即使将 syslog 服务器部署在 Windows 系统上，分析 syslog 日志的选项也比 Windows 事件日志多，这主要得益于 syslog 的 ASCII 数据格式。

Syslog 采用客户端 - 服务器模式工作。服务器（在 UNIX/Linux 中称为守护进程）接收远程主机甚至同一主机生成的消息，客户端将消息与正确的数据编译后发送给服务器。