消失不见的lastb （Linux日志 1）

1 前言

服务器安全是绝对不可忽视的。而使用lastb查看登陆失败的用户记录，便是一个与之相关的常用命令，可以得知我们的服务器的是否被人尝试登录。

2 背景

某一天，我像往常一样输入了 sudo lastb，想看看有没有被拒之门外的人。令人意外的是，结果竟然一片空白，之前“友好”的访客们的到访记录竟然消失不见了！我第一反应便是有人入侵了，因为一般不速之客入侵后都会清理掉一些系统日志，特别是有关于登陆的信息。在紧急排查过后，发现并没有被入侵的痕迹，这时我又打开了 lastb ，才发现当前日期是某月的一号。这时我才想起，这台服务器的logrotate还是默认配置，赶紧打开配置查看。果然是虚惊一场。默认配置的它在每月一号，清理了 /var/log/btmp ，而 lastb 正是通过访问这个日志输出的。

3 修改 logrotate 配置

这“捣鬼”的 logrotate 正是 Linux 上的日志文件轮替程序。它基于 cron 运行，其脚本位于 /etc/cron.daily/logrotate 。而在运行时，logrotate 会根据配置文件 /etc/logrotate.conf 以及 /etc/logrotate.d 里的文件执行规则。

3.1 修改 btmp 对应配置

为让我们的 lastb 内容不再消失不见，我们需要对其配置文件进行修改，而与之相关的便是 btmp 日志了：

其对应配置为 /etc/logrotate.d/btmp ，在 Debian 下，其文件默认内容如下：

1
2
3
4
5
6
7

# no packages own wtmp -- we'll rotate it here
/var/log/btmp {
    missingok
    monthly
    create 0660 root utmp
    rotate 1
}

其中配置参数意义如下：

• missingok 如果日志丢失，不报错继续滚动下一个日志。
• monthly 每月切割日志并转储
• create 0660 root utmp 轮转时指定创建新文件的属性为0660，用户为root，用户组为utmp
• rotate 1 删除之前转储的1次，保留1个备份

将其修改为

1
2
3
4
5
6
7
8
9

# no packages own wtmp -- we'll rotate it here
/var/log/btmp {
    missingok
    compress
    monthly
    create 0660 root utmp
    minisize 1M
    rotate 5
}

加入 compress 压缩转储文件；加入 minisize 1M ，只有日志大于 1M 时才转储；修改 rotate 1 为 rotate 5 ，备份 5 个文件。

3.2 修改 wtmp 对应配置

而除了 btmp ，wtmp 也是用来记录登陆信息的文件，其记录登陆者与系统重新启动时的时间与来源主机及登陆期间的时间。

其对应配置在 /etc/logrotate.d/wtmp ，其在 Debian 默认如下：

1
2
3
4
5
6
7
8

# no packages own wtmp -- we'll rotate it here
/var/log/wtmp {
    missingok
    monthly
    create 0664 root utmp
    minsize 1M
    rotate 1
}

我修改为如下了：

1
2
3
4
5
6
7
8
9

# no packages own wtmp -- we'll rotate it here
/var/log/wtmp {
    missingok
    compress
    monthly
    create 0664 root utmp
    minsize 1M
    rotate 5
}

3.3 修改 logrotate 默认配置

而对于 logrotate 的通用配置 /etc/logrotate.conf ，也由

1

# compress 

改为了：

1

compress

当然更改后重新启动 logrotate ：

1

sudo systemctl restart logrotate.service

4 logrotate 其他可配置参数

logrotate 这个“捣乱份子”，其实是“性本善”的。在我们熟悉其天赋秉性后，是可以为我们所用的。以下便是它的详细可调教参数。