☰

SSHが正しく記録されていません。

tag-icon • tag-icon linux debian ssh logs
SSHが正しく記録されていません。

私はDebian Webサーバーを見ていますが/var/log/auth.log、最後に記録されたものは次のとおりです。

Jul  2 21:09:01 h311 /USR/SBIN/CRON[25912]: (root) CMD (  [ -x /usr/lib/php5/maxlifetime ] && [ -d /var/lib/php5 ] && find /var/lib/php5/ -depth -mindepth 1 -maxdepth 1 -type f -ignore_readdir_race -cmin +$(/usr/lib/php5/maxlifetime) ! -execdir fuser -s {} 2>/dev/null \; -delete)
Jul  2 21:12:37 h311 systemd[1]: Reloading.

/var/log/syslogサイズは0バイトです。以前のログはそのアーカイブにあります。

アンインストールしてサービスを再起動してみました。ゼロバイトサイズで再生成されます。

そのサーバーにsyslog-ngのようなものをインストールしようとし、しばらく遊んで削除しました。私がインストールしたパッケージの一部が構成を改ざんしている可能性がありますが、確かに言うことはできません。

このサーバーには複数のスーパーユーザーがいるため、他のものかもしれません。

ロギングが正しく機能するためには、何を確認して試す必要がありますか？

答え1

コメントで指摘したように、システムはサービス管理にsystemdを使用しています。 Systemdは既存のSysVinitを置き換えます。また、システムログコレクタなど、他の多くの機能と一緒にバンドルされています。この場合、ログにアクセスするにはこのコマンドを使用する必要がありますjournalctl。

$ journalctl

sshdログだけを見たい場合は、フィルタを渡すだけです。

$ journalctl -n 1 _COMM=sshd
-- Logs begin at Wed 2014-10-22 19:29:29 EDT, end at Fri 2014-10-24 09:05:09 EDT. --
Oct 24 09:05:09 gadget sshd[5800]: pam_unix(sshd:session): session closed for user phemmer

出力形式を次に変更して、利用可能なフィルタフィールドを表示できますverbose。

$ journalctl -n 1 -o verbose
Fri 2014-10-24 09:05:09.533633 EDT [s=30566909a26443ffb7185d318ccc4cd6;i=3d5d;b=19dd64e325fd4577a78af1a73f005b6c;m=1e82168a3c;t=5062ad4a511bc;x=1fae374af8a7dbc3]
    PRIORITY=6
    _UID=0
    _GID=0
    _BOOT_ID=19dd64e325fd4577a78af1a73f005b6c
    _MACHINE_ID=5288dcb47f9fed3ab946f54754305a4f
    _HOSTNAME=gadget
    _CAP_EFFECTIVE=1fffffffff
    _TRANSPORT=syslog
    SYSLOG_FACILITY=10
    SYSLOG_IDENTIFIER=sshd
    _COMM=sshd
    _EXE=/usr/sbin/sshd
    _SYSTEMD_OWNER_UID=1000
    _SYSTEMD_SLICE=user-1000.slice
    _PID=5800
    _CMDLINE=sshd: phemmer [priv]   
    _SYSTEMD_CGROUP=/user.slice/user-1000.slice/session-3.scope
    _SYSTEMD_SESSION=3
    _SYSTEMD_UNIT=session-3.scope
    MESSAGE=pam_unix(sshd:session): session closed for user phemmer
    _SOURCE_REALTIME_TIMESTAMP=1414155909533633

systemd の無効化に関するご意見にお答えください。私はこれをお勧めしません。ディストリビューションがsystemdに移行しており、システムのコアコンポーネントを削除すると、生活が非常に困難になる可能性があります。
ロギングを無効にし、既存のsyslogデーモンを大きな問題なしに使用することも可能ですが、使用しないことを決定する前に使用方法を学ぶことをお勧めします。慣習を軽く破ってはいけません。

関連情報