[정보보안기사] 유닉스/리눅스 주요 로그 파일

* 시스템 로그 설정과 관리

Unix - /var/adm

Linux - /var/log

시스템의 /etc/syslog.conf 파일에서 시스템 로그파일들의 위치를 저장하고 있다.

시스템데몬로그(syslogd), 메일데몬(sendmail), 웹데몬(https), 네임서버데몬(named), 슈퍼데몬(xinted) 등 다양하게 존재

* 유닉스/리눅스 주요 로그 파일

로그파일이 binary 형태로 저장되어 있어서, cat 명령어 사용이 불가하고 특정 명령어를 사용하여 로그를 볼 수 있다.

1. utmp(x) 로그 파일

- 현재 로그인한 사용자의 상태정보를 담고 있는 로그 파일

- "w", "who", "finger" 등으로 확인 가능

Linux : /var/run/utmp

Unix : /var/adm/utmpx

2. wtmp(x) 로그 파일

- 사용자의 성공한 로그인/로그아웃 정보, 시스템의 Boot/Shutdown 정보에 대한 히스토리를 담고 있는 로그 파일

- "last" 로 확인 가능

- "last" 명령을 실행하면 모든 계정에 대한 로그인/로그아웃 정보를 출력(Boot/Shutdown 은 reboot 이란 시스템 계정으로 적힘)

Linux : /var/log/wtmp

Unix : /var/adm/wtmpx

3. lastlog 로그 파일

- 가장 최근(마지막)에 성공한 로그인기록을 담고 있는 로그 파일

- "lastlog"(Linux), "finger"(Linux, Unix)

- "lastlog -u ksh901016" (사용자 검색시 -u 옵션 사용), "lastlog -t 10" (10일 이내에 로그인에 성공)

Linux : /var/log/lastlog

Unix : /var/adm/lastlog

4. btmp(Linux), loginlog(Unix) 로그파일

- 실패한 로그인 시도에 대한 기록을 담고 있는 파일

- "lastb" (Linux)

Linux : /var/log/btmp (binary)

Unix : /var/adm/loginlog (텍스트파일로 존재하여, 별도의 명령어가 존재하지 않는다. 5회 이상 실패 시 실패한 로그를 남김)

5. sulog(Unix) 로그파일

Unix : /var/adm/sulog (텍스트 파일로 존재하며 (+) 로그인 성공, (-) 로그인 실패)

Linux : /var/log/secure (로그파일에 su 명령어를 사용한 결과가 남음)

6. acct/pacct 로그파일

- 시스템에 로그인한 모든 사용자가 로그아웃할 때까지 입력한 명령어, 터미널 종류, 프로세스 시작 시간 등을 저장한 로그

- "lastcomm"

7. secure(Linux) 로그 파일

- 주로 사용자/그룹 생성/삭제, 로그인 등의 사용자 인증에 대한 정보를 기록하고 있는 로그 파일로서 서버보안에 아주 민감하고 중요한 파일

- 원격에서 접속한 내역과 su 명령어를 수행한 내역등이 저장

Linux : /var/log/secure

8. messages 로그 파일

- 가장 기본적인 시스템 로그 파일

- 시스템 운영에 대한 전반적인 메시지를 저장

- 주로 시스템 데몬들의 실행상황과 내역, 사용자들의 접속정보, Tcpwrapper 접근 제어정보 등을 저장

Linux : /var/log/messages

Unix : /var/adm/messages

9. xferlog(Linux) 로그 파일

- 리눅스 시스템의 FTP 로그 파일

- 전송파일종류 ( a : ascii(아스키모드), b : binary(바이너리) 전송)

- OS마다 개행처리문자가 다르므로 파일을 전송할 때 적절한 전송모드를 선택해야 함

(Unix : 0x0A(LF), Win : 0x0D0A(CR, LF), Mac : 0x0D(CR))

Linux : /var/log/xferlog