Linux系统日志简介
2013-04-05 22:42:30 阿炯

日志文件详细地记录了系统每天发生的各种各样的事件。用户可以通过日志文件检查错误产生的原因,或者在受到攻击和黑客入侵时追踪攻击者的踪迹,日志的两个比较重要的作用是:审核和监测。

---------------
日志系统概述

Linux 系统的日志主要分为两种类型:
1. 进程所属日志: 由用户进程或其他系统服务进程自行生成的日志,比如服务器上的 access_log 与 error_log 日志文件。

2. syslog 消息: 系统syslog 记录的日志,任何希望记录日志的系统进程或者用户进程都可以给调用syslog来记录日志。
 
日志系统可以划分为三个子系统 :
1. 连接时间-用户登录日志–由多个程序执行,把纪录写入到/var/log/wtmp 和/var/run/utmp,login 等程序更新 wtmp 和 utmp 文件,使系统管理员能够跟踪谁在何时登录到系统。

2. 进程统计–由系统内核执行。当一个进程终止时,为这个进程在进程统计文件(pacct 或 acct)中写一个纪录。进程统计的目的是为系统中的基本服务提供命令使用统计。

3. 错误日志–由 syslogd(8)执行。各种系统守护进程、用户程序和内核通过
syslog(3)向文件/var/log/messages 报告值得注意的事件。

察看日志文件

Linux系统所有的日志文件都在/var/log下,且必须有 root 权限才能察看。日志文件其实是纯文本的文件,每一行就是一个消息,察看方式有很多:

1. cat 命令。日志文件总是很大的,因为从第一次启动 Linux 开始所有消息都累积在日志文件中。如果这个文件不只一页,那么就会因为显示滚动得太快看不清文件的内容。

2. 文本编辑器。最好也不要用文本编辑器打开日志文件,这是因为一方面很耗费内存,另一方面不允许随意改动日志文件。

3. 用 more 或 less 那样的分页显示程序。

4. 用 grep 查找特定的消息。
 
每一行表示一个消息,而且都由四个域的固定格式组成:
1. 时间标签 (timest amp ),表示消息发出的日期和时间。

2. 主机名(hostname)(在我们的例子中主机名为 escher),表示生成消息的计算机的名字。如果只有一台计算机,主机名就可能没有必要了。但是如果在网络环境中使用 syslog,那么就可能要把不同主机的消息发送到一台服务器上集中处理。

3. 生成消息的子系统的名 字。可以是”kernel”,表示消息来自内核;或者是进程的名字,表示发出消息的程序的名字。在方括号里的是进程的PID。

4. 消息(message),剩下的部分就是消息的内容。

需要注意的是,与用户登录日志不同,进程统计子系统默认不激活。在Linux系统中启动进程统计使用 accton 命令,必须用 root 身份来运行。accton 命令的形式:
# accton file

file必须事先存在。可以先使用 touch 命令创建 pacct 文件,然后运行: accton /var/log/pacct启动。一旦 accton 被激活,就可以使用 lastcomm 命令监测系统中任何时候执行的命令。若要关闭统计,可以使用不带任何参数的 accton 命令。

---------------
关于syslogd与klogd
Linux 内核由很多子系统组成,包括网络、文件访问、内存管理等。子系统需要给用户传送一些消息,这些消息内容包括消息的来源及其重要性等。所有的子系统都要把消息送到一个可以维护的公用消息区,于是就有了一个叫 syslog 的程序。

这个程序负责接收消息(比如系统内核和许多系统程序产生的错误信息、警告信息和其他信息,这些信息还附带有严重性级别),并把消息分发到合适的地方。通常情况下,所有的消息都被记录到特定的文件——日志文件中(通常是'/var/adm'或'/var/log'目录下的messages文件),特别重要的消息也会在用户终端窗口上显示出来。

syslog 系统日志记录着linux系统启动及运行的过程中产生的信息,RHEL 5.x系统上默认自带了syslog 的配置文件是/etc/syslog.conf。syslog默认有两个守护进程:klogd、syslogd。syslogd与klogd(监控linux内核提交的消息)守护进程负责记录,发送系统或工具产生的信息,二者的配置文件都是/etc/syslog.conf。当系统内核或工具产生信息时,通过调用相关函数将信息发送到syslogd或klogd守护进程。syslogd与klogd守护进程会根据/etc/syslog.conf中的配置信息,对消息的去向作出处理。

klogd 进程是记录系统运行的过程中内核生成的日志,而在系统启动的过程中内核初始化过程中 生成的信息记录到控制台(/dev/console)当系统启动完成之后会把此信息存放到/var/log/dmesg文件中,我可以通过cat /var/log/dmesg查看这个文件,也可以通过dmesg命令来查看。

syslogd 进程是记录非内核以外的信息,主要是各个系统进程运行所产生的日志。

syslog 工具有两个重要文件: syslogd 和 syslog.conf。
它能接受访问系统的日志信息并且根据'/etc/syslog.conf'配置文件中的指令处理这些信息。守护进程和内核提供了访问系统的日志信息,因此任何希望生成日志信息的程序都可以向 syslog 接口呼叫生成该信息。

syslogd守护进程
每一个子系统发出日志消息时都会给消息指定一个类型,一个消息分成两 个部分:'设备(facility)'和'级别(level)'。

'设备'标识发出消息的子系统,可以把同一类型的消息组合在一起,'级别'表示消息的重要性,其范围从 debug(最不重要)到 emerg(最重要)。facility 和 level 组合起来称为'priority'。/usr/include/sys/syslog.h 中对此有相关的定义。

注:debian rhel centos 6.x 的syslogd被改名为rsyslogd, 其默认的配置文件是/etc/rsyslog.conf。

因此,本文所讲的要要适合于老版本的rhel及debian等系统。

---------------
syslog.conf 文件配置

这是一个非常重要的文件。位于”/etc”目录下,通知 syslogd 如何根据设备和信息重要级别来报告信息,该文件使用下面的形式:
facility.level action

syslog.conf 的第一列 facility.level 用来指定日志功能和日志级别,中间用”.”隔开,可以使用*来匹配所有的日志功能和日志级别。第二列 action 是消息的分发目标。空白行和以#开头的行是注释,可以忽略。Facility.level 字段也被称做选择域(seletor)。

facility 指定 syslog 功能,主要包括以下这些:
auth 由 pam_pwdb 报告的认证活动。
authpriv 包括特权信息如用户名在内的认证活动
cron 与 cron 和 at 有关的信息。
daemon 与 inetd 守护进程有关的信息。
kern 内核信息,首先通过 klogd 传递。
lpr 与打印服务有关的信息。
mail 与电子邮件有关的信息
mark syslog 内部功能用于生成时间戳
news 来自新闻服务器的信息
syslog 由 syslog 生成的信息
user 由用户程序生成的信息
uucp 由 uucp 生成的信息
local0—-local7 与自定义程序使用,例如使用 local5 做为 ssh 功能
* 通配符代表除了 mark 以外的所有功能
 
level 级别,决定讯息的重要性。

与每个功能对应的优先级是按一定顺序排列的,emerg 是最高级,其次是 alert,依次类推。缺省时在 /etc/syslog.conf 记录中指定的级别为该级别和更高级别。如果希望使用确定的级别可以使用两个运算符号”!”(不等)和”=”。

例如:user.=info 表示告知 syslog 接受所有在 info 级别上的 user 功能信息。以下的等级重要性逐次递减:
emerg 该系统不可用
alert 需要立即被修改的条件
crit 阻止某些工具或子系统功能实现的错误条件
err 阻止工具或某些子系统部分功能实现的错误条件
warning 预警信息
notice 具有重要性的普通条件
info 提供信息的消息
debug 不包含函数条件或问题的其他信息
none 没有重要级,通常用于排错
* 所有级别,除了 none
 
action 字段为动作域,所表示的活动具有许多灵活性,特别是可以使用名称管道的作用是可以使 syslogd 生成后处理信息。syslog 主要支持以下活动:

file 将消息追加到指定的文件尾
terminal 或 print 完全的串行或并行设备标志符
@host 远程的日志服务器
username 将消息写到指定的用户
named pipe 指定使用 mkfifo 命令来创建的 FIFO 文件的绝对路径。
* 将消息写到所有的用户
 
选择域指明消息的类型和优先级,动作域指明 syslogd 接收到一个与选择标准相匹配的消息时所执行的动作。

每个选项是由设备和优先级组成,每当指明一个优先级,syslogd 将纪录一个拥有相同或更高优先级的消息。比如如果指明”crit”则所有标为 crit、alert 和emerg 的消息将被纪录,每行的行动域指明当选择域选择了一个给定消息后应该把他发送到什么地方。

以下是一个实际站点的配置(syslog.conf)文件:

# Store critical stuff in critical
#
*.=crit;kern.none /var/adm/critical
这个将把所有信息以优先权的 crit 保存在/var/adm/critical 文件中,除了一些内核信息

# Kernel messages are first, stored in the kernel
# file, critical messages and higher ones also go
# to another host and to the console
#
kern.* /var/adm/kernel
kern.crit @freeoalog
kern.crit /dev/console
kern.info;kern.!err /var/adm/kernel-info
第一条代码指引一些内核设备访问文件/var/adm/kernel 的信息。

第二条代码直接引导所有拥有 crit 和更高优先权的内核信息访问远程主机。如果它们也存储在远程主机上,仍旧可以试着找到毁坏的原因。

第四行说明 syslogd 保存了所有拥有 info 到 warning 优先级的内核信息在/var/adm/kernel-info 文件夹下。所有 err 和更高优先级的被排除在外。

# The tcp wrapper loggs with mail.info, we display
# all the connections on tty12
#
mail.=info /dev/tty12
这个引导所有使用 mail.info (in source LOG_MAIL | LOG_INFO)的信息到/dev/tty12 下,第 12 个控制台。例如 tcpwrapper tcpd(8)载缺省时使用这个。

# Store all mail concerning stuff in a file
mail.*;mail.!=info /var/adm/mail
模式匹配了所有具有 mail 功能的信息,除了拥有 info 优先级的。他们将被保存在文件/var/adm/mail 中。

# Log all mail.info and news.info messages to info
#
mail,news.=info /var/adm/info
提取所有具有 mail.info 或 news.info 功能优先级的信息存储在文件/var/adm/info 中。

# Log info and notice messages to messages file
#
*.=info;*.=notice;\
mail.none /var/log/messages
使所有 syslogd 日志中具有 info 或 notice 功能的信息存储在文件/var/log/messages 中,除了所有 mail 功能的信息。

# Log info messages to messages file
#
*.=info;\
mail,news.none /var/log/messages
这个声明使 syslogd 日志中所有具有 info 优先权的信息存储在/var/log/messages 文件中。但是一些有 mail 或 news 功能的信息不能被存储。

# Emergency messages will be displayed using wall
#
*.=emerg *
这行代码告诉 syslogd 写所有紧急信息到所有当前登陆用户日志中。

# Messages of the priority alert will be directed
# to the operator
#
*.alert root,joey
*.* @freeoalog
这个代码指引所有具有 alert 或更高级权限的信息到终端操作。第二行代码引导所有信息到叫做 freeoalog 的远程主机。这个代码非常有用,特别是在所有 syslog 信息将被保存到一台机器上的群集计算机。

syslog配置文件详解
配置文件的语法说明:
(1) *用作设备或优先级时,可以匹配所有的设备或优先级。
(2) *用作动作时,将消息发送给所有的登录用户。
(3) 多个选择器可在同一行中,并使用分号分隔开,且后面的会覆盖前面的,如:uucp,news.crit
(4) 关键字none用作优先级时,会屏蔽所有来自指定设备的消息。
(5) 通过使用相同的选择器和不同的动作,同一消息可以记录到多个位置。
(6) syslog.conf文件中后面的配置行不会覆盖前面的配置行,每一行指定的动作都独立的运作。

配置文件定义格式为:
[facility].[priority]   [action]
其中'facility'可以理解为日志的来源或类别,常用的'facility'有以下几种:
关键字              值       解释
kern                0        内核信息,首先通过 klogd 传递.
user                1        由用户程序生成的信息.
mail                2        与电子邮件有关的信息.
daemon              3        与 inetd 守护进程有关的信息.
auth                4        由 pam_pwdb 报告的认证活动.
syslog              5        由 syslog 生成的信息.
lpr                 6        与打印服务有关的信息.
news                7        来自新闻服务器的信息.
uucp                8        由 uucp 生成的信息.(uucp = unix to unix copy)
cron                9        与 cron 和 at 有关的信息.
authpriv           10        包括私有信息(如用户名)在内的认证活动
ftp                11        与 FTP 有关的信息.
               12-15        系统保留
local0 ~ local7  16-23        由自定义程序使用,例如使用 local5 做为 ssh 功能
mark        syslog内部功能用于生成时间戳.
*        通配符代表除了 mark 以外的所有功能

在大多数情况下,任何程序都可以通过任何facility发送日志消息,但是一般都遵守约定俗成的规则。比如,只有内核才能使用"kern"facility。

'priority'表示日志级别 (log level),一般有以下几种级别(从低到高,降序排列,严重性越来越低):
关键字               值        解释
emerg                0        系统不可用
alert                1        需要立即被修改的条件
crit                 2        (临界)阻止某些工具或子系统功能实现的错误条件
err                  3        阻止工具或某些子系统部分功能实现的错误条件
warning              4        预警信息
notice               5        具有重要性的普通条件
info                 6        提供信息的消息
debug                7        不包含函数条件或问题的其他信息
none                          (屏蔽所有来自指定设备的消息)没有优先级,通常用于排错
*                             除了none之外的所有级别

'facility'部分可以是用逗号(,)分隔的多个子系统,而多个'seletor'之间也可以通过分号(;)组合在一起。

注意:多个组合在一起的选择符,后面的会覆盖前面的,这样就允许从模式中排除一些优先级。默认将对指定级别以及更严重级别的消息进行操作,但是可以通过下面2个操作符进行修改。

等于操作符(=)表示仅对这个级别的消息进行操作,不等操作符(!)表示忽略这个级别以及更严重级别的消息。这两个操作符可以同时使用,不过"!"必须出现在"="的前面。

'action'表示日志记录的位置:
系统上的绝对路径 # 普通文件 如: /var/log/xxx  
| # 管道  通过管道送给其他的命令处理  
终端 # 终端   如:/dev/console  
@HOST # 远程主机 如: @10.0.0.1       
用户 # 系统用户 如: root  
* # 登录到系统上的所有用户,一般emerg级别的日志是这样定义的

示例:
mail.info   /var/log/mail.log # 表示将mail相关的,级别为info及info以上级别的信息记录到/var/log/mail.log文件中  
auth.=info  @10.0.0.1 # 表示将auth相关的,基本为info的信息记录到10.0.0.1主机上去,前提是10.0.0.1要能接收其他主机发来的日志信息  
user.!=error # 表示记录user相关的,不包括error级别的信息  
user.!error # 与user.error相反  
*.info # 表示记录所有的日志信息的info级别  
mail.* # 表示记录mail相关的所有级别的信息  
*.* # 你懂的.  
cron.info;mail.info # 多个日志来源可以用";" 隔开  
cron,mail.info # 与cron.info;mail.info 是一个意思  
mail.*;mail.!=info # 表示记录mail相关的所有级别的信息,但是不包括info级别的  

下面是rhel5.x系统上自带的syslog的配置文件/etc/syslog.conf

# 表示将所有facility的info级别,但不包括mail,authpriv,cron相关的信息,记录到 /var/log/messages文件  
*.info;mail.none;authpriv.none;cron.none    /var/log/messages  

# 表示将权限,授权相关的所有基本的信息,记录到/var/log/secure文件中.这个文件的权限是600  
authpriv.*    /var/log/secure  

# 表示将mail相关的所有基本的信息记录到/var/log/maillog文件中,可以看到路径前面有一个"-"  
# "-" 表示异步写入磁盘,  
mail.*    -/var/log/maillog  

# 表示将任务计划相关的所有级别的信息记录到/var/log/cron文件中  
cron.*    /var/log/cron  

# 表示将所有facility的emerg级别的信息,发送给登录到系统上的所有用户  
*.emerg    *  

# 表示将uucp及news的crit级别的信息记录到/var/log/spooler文件中  
uucp,news.crit    /var/log/spooler  

# 表示将local7的所有级别的信息记录到/var/log/boot.log文件中,  
# 上面说过local0 到local7这8个是用户自定义使用的,这里的local7记录的是系统启动相关的信息  
local7.*    /var/log/boot.log

可以使用tail  /var/log/messages 进行查看。

klogd 守护进程

klog 是一个从 UNIX 内核接受消息的设备,klogd 守护进程获得并记录 Linux 内核信息。通常syslogd 会记录 klogd 传来的所有信息,也就是说klogd 会读取内核信息,并转发到 syslogd 进程。然而如果调用带有 -f filename 变量的 klogd时,klogd 就在filename 中记录所有信息,而不是传给 syslogd。当指定另外一个文件进行日志记录时,klogd 就向该文件中写入所有级别或优先权,Klogd 中没有和 /etc/syslog.conf 类似的配置文件。

使用 klogd 而避免使用 syslogd 的好处在于可以查找大量错误。

---------------
常见的日志文件

access-log 纪录HTTP/web的传输
acct/pacct 纪录用户命令
aculog 纪录MODEM的活动
btmp 纪录失败的纪录
lastlog 纪录最近几次成功登录的事件和最后一次不成功的登录
messages 从syslog中记录信息(有的链接到syslog文件)
sudolog 纪录使用sudo发出的命令
sulog 纪录使用su命令的使用
syslog 从syslog中记录信息(通常链接到messages文件)
utmp 纪录当前登录的每个用户  /var/run/utmp  
wtmp 一个用户每次登录进入和退出时间的永久纪录  /var/log/wtmp 系统重启及系统状态变化情况。
xferlog 纪录FTP会话

utmp、wtmp和lastlog日志文件是多数重用UNIX日志子系统的关键--保持用户登录进入和退出的纪录。有关当前登录用户的信息记录在文件utmp中;[针对当前已LOGIN的用户]登录进入和退出纪录在文件wtmp中;针对用户的所有历史记录的明细表,最后一次登录文件可以用lastlog命令察看。

数据交换、关机和重起也记录在wtmp文件中。所有的纪录都包含时间戳。这些文件(lastlog通常不大)在具有大量用户的系统中增长十分迅速。例如 wtmp文件可以无限增长,除非定期截取。许多系统以一天或者一周为单位把wtmp配置成循环使用,它通常由cron运行的脚本来修改。这些脚本重新命名 并循环使用wtmp文件。通常,wtmp在第一天结束后命名为wtmp.1;第二天后wtmp.1变为wtmp.2等等,直到wtmp.7。

每次有一个用户登录时,login程序在文件lastlog中察看用户的UID。如果找到了,则把用户上次登录、退出时间和主机名写到标准输出中,然后login程序在lastlog中纪录新的登录时间。在新的lastlog纪录写入后,utmp文件打开并插入用户的utmp纪录。该纪录一直用到用户登录退出时删除。

下一步,login程序打开文件wtmp附加用户的utmp纪录。当用户登录退出时,具有更新时间戳的同一utmp纪录附加到文件中。

LOGIN----刷新LAGTLOG----写入用户的utmp纪录-----退出时删除utmp中相应的纪录-----LOGIN根据utmp更新对应wtmp文件中的记录。

utmp文件被各种命令文件使用,包括who、w、users和finger。均针对系统已login in的用户wtmp文件被程序last和ac使用。这两个命令所按历史记录进行统计

具体命令
wtmp和utmp文件都是二进制文件,他们不能被诸如tail命令剪贴或合并(使用cat命令),用户需要使用who、w、users、last和ac来使用这两个文件包含的信息。

who:who命令查询utmp文件并报告当前登录的每个用户。Who的缺省输出包括用户名、终端类型、登录日期及远程主机。例如:who(回车)显示
freeoa pts/0 Aug 18 15:06
ynguo pts/2 Aug 18 15:32

如果指明了wtmp文件名,则who命令查询所有以前的纪录。命令who /var/log/wtmp将报告自从wtmp文件创建或删改以来的每一次登录。

w:w命令查询utmp文件并显示当前系统中每个用户和它所运行的进程信息。例如:w(回车)显示:
 21:56:12 up 11:59,  4 users,  load average: 0.00, 0.00, 0.00
USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT
root     pts/0    192.168.18.98    10:54    0.00s  0.55s  0.02s w
root     pts/2    192.168.18.98    10:54   18:33   0.35s  0.35s -bash

users:users用单独的一行打印出当前登录的用户,每个显示的用户名对应一个登录会话。如果一个用户有不止一个登录会话,那他的用户名将显示相同的次数。

例如:users(回车)显示:
root chyang lewis lewis hto

last:last命令往回搜索wtmp来显示自从文件第一次创建以来登录过的用户。例如:
root     pts/2        192.168.18.98    Fri Apr  5 10:54   still logged in   
root     pts/0        192.168.18.98    Fri Apr  5 10:54   still logged in   
reboot   system boot  2.6.32-5-686     Fri Apr  5 17:57 - 21:56  (03:59)

如果指明了用户,那么last只报告该用户的近期活动,例如:last ynguo(回车)显示:

ac:ac命令根据当前的/var/log/wtmp文件中的登录进入和退出来报告用户连结的时间小时),如果不使用标志,则报告总的时间。
例如:ac(回车)显示:total 5177.47

ac -d(回车)显示每天的总的连结时间
Aug 12 total 261.87
Aug 13 total 351.39
...
Today total 179.02

ac -p (回车)显示每个用户的总的连接时间
ynguo 193.23
...
total 5178.24

lastlog:lastlog文件在每次有用户登录时被查询。可以使用lastlog命令来检查某特定用户上次登录的时间,并格式化输出上次登录日志/var/log/lastlog的内容。
它根据UID排序显示登录名、端口号(tty)和上次登录时间。如果一个用户从未登录过,lastlog显示"**Never logged**。

注意需要以root运行该命令,例如:
rong 5 202.38.64.187 Fri Aug 18 15:57:01 +0800 2000
dbb **Never logged in**
xinchen **Never logged in**
...
xchen 0 202.38.64.190 Sun Aug 13 10:01:22 +0800 2000
另外,可一加一些参数,例如,last -u 102将报告UID为102的用户;last -t 7表示限制上一周的报告。

---------------
日志管理及日志保护

logrotate 程序用来帮助用户管理日志文件,它以自己的守护进程工作。logrotate 周期性地旋转日志文件,可以周期性地把每个日志文件重命名成一个备份名字,然后让它的守护进程开始使用一个日志文件的新的拷贝。在/var/log/下产生如maillog、maillog.1、maillog.2、boot.log.1、boot.log.2 之类的文件,当然它也支持压缩。

它由一个配置文件驱动,该文件是/etc/logrotate.conf。

关于它的具体应用,请参考"使用logrotate管理系统日志"

在网络应用中,有一种保护日志的方式: 在网络中设定一台秘密的 syslog 主机,把这台主机的网卡设为混杂模式,用来侦听子网内所有的 syslog 包,这样把所有需要传送日志的主机配置为向一台不存在的主机发送日志即可。这样即使黑客攻陷了目标主机,也无法通过 syslog.conf 文件找到备份日志的主机,那只是一个不存在的主机。

实际操作中还可以辅以交换机的配置,以确保 syslog 包可以被备份日志主机上的 syslog 进程接受到。比如把 syslog.conf 中的传送日志主机设为'@192.168.0.13',但实际网络中不存在这个日志主机,实际可能是'192.168.0.250'或者其他主机正在接受syslog 包。

---------------
syslog-ng
syslog有它的派生版本'syslog-ng',syslog-ng (syslog-Next generation) 是syslog的升级版,syslog-ng有两个版本,一个是收费的,一个是开源的,那么作为syslog的下一代产品,功能上要比syslog的功能强大,如:
高性能
可靠的传输
支持多平台
高可靠性
众多的用户群体
强大的日志过滤及排序
事件标签和关联性
支持最新的IETF标准等。


syslog-ng设计原则
通过正规表达式协助,除支持原facitily/level方式,还支持内容过滤等以建立更好的消息过滤机制;
支持主机链,即使日志消息经过多重网络转发,仍可找到原发出主机的信息和整个消息链;
支持强大的自定义配置,并且清晰、明了。

syslog-ng配置文件的结构
# 全局选项,多个选项时用分好";"隔开  
options {
};  
# 定义日志源
source s_name {
};  
# 定义过滤规则,规则可以使用正则表达式来定义,这里是可选的,不定义也没关系  
filter f_name {
};  
# 定义目标  
destination d_name {
};  
# 定义消息链可以将多个源,多个过滤规则及多个目标定义为一条链  
log {
};  

下面详细解释一下每个组成部分的含义:
options选项:
chain_hostnames(yes|no)     # 是否打开主机名链功能,打开后可在多网络段转发日志时有效  
long_hostnames(yes|no)      # 是chain_hostnames的别名,已不建议使用  
keep_hostname(yes|no)       # 是否保留日志消息中保存的主机名称  
use_dns(yes|no)             # 是否打开DNS查询功能,  
use_fqdn(yes|no)            # 是否使用完整的域名  
check_hostname(yes|no)      # 是否检查主机名有没有包含不合法的字符  
bad_hostname(regexp)        # 可通过正规表达式指定某主机的信息不被接受  
dns_cache(yes|no)           # 是否打开DNS缓存功能  
dns_cache_expire(n)         # DNS缓存功能打开时,一个成功缓存的过期时间  
dns_cache_expire_failed(n)  # DNS缓存功能打开时,一个失败缓存的过期时间  
dns_cache_size(n)           # DNS缓存保留的主机名数量  
create_dirs(yes|no)         # 当指定的目标目录不存在时,是否创建该目录  
dir_owner(uid)              # 目录的UID  
dir_group(gid)              # 目录的GID  
dir_perm(perm)              # 目录的权限,使用八进制方式标注,例如0644  
owner(uid)                  # 文件的UID  
group(gid)                  # 文件的GID  
perm(perm)                  # 文件的权限,同样,使用八进制方式标注  
gc_busy_threshold(n)        # 当syslog-ng忙时,其进入垃圾信息收集状态的时间一旦分派的对象达到这个数字,syslog-ng就启动垃圾信息收集状态。默认值是:3000。  
gc_idle_threshold(n)        # 当syslog-ng空闲时,其进入垃圾信息收集状态的时间一旦被分派的对象到达这个数字,syslog-ng就会启动垃圾信息收集状态,默认值是:100  
log_fifo_size(n)            # 输出队列的行数  
log_msg_size(n)             # 消息日志的最大值(bytes)  
mark(n)                     # 多少时间(秒)写入两行MARK信息供参考,目前没有实现  
stats(n)                    # 多少时间(秒)写入两行STATUS信息,默认值是:600  
sync(n)                     # 缓存多少行的信息再写入文件中,0为不缓存,局部参数可以覆盖该值。  
time_reap(n)                # 在没有消息前,到达多少秒,即关闭该文件的连接  
time_reopen(n)              # 对于死连接,到达多少秒,会重新连接  
use_time_recvd(yes|no)      # 宏产生的时间是使用接受到的时间,还是日志中记录的时间;建议使用R_的宏代替接收时间,S_的宏代替日志记录的时间,而不要依靠该值定义。  

举例:
options {
long_hostnames(off);
sync(0);
perm(0640);
stats(3600);
};

source选项:
file (filename) # 从指定的文件读取日志信息  
unix-dgram  (filename) # 打开指定的SOCK_DGRAM模式的unix套接字,接收日志消息  
unix-stream (filename) # 打开指定的SOCK_STREAM模式的unix套接字,接收日志消息  
udp ( (ip),(port) ) # 在指定的UDP端口接收日志消息  
tcp ( (ip),(port) ) # 在指定的TCP端口接收日志消息  
sun-streams (filename) # 在solaris系统中,打开一个(多个)指定的STREAM设备,从其中读取日志消息  
internal() # syslog-ng内部产生的消息  
pipe(filename),fifo(filename) # 从指定的管道或者FIFO设备,读取日志信息  

示例:
source s_name {
internal();
unix-dgram("/dev/log");
udp(ip("0.0.0.0") port(514));
};  

filter选项:
facility(..) # 根据facility(设备)选择日志消息,使用逗号分割多个facility  
level(..) # 根据level(优先级)选择日志消息,使用逗号分割多个level,或使用“..”表示一个范围  
program(表达式) # 日志消息的程序名是否匹配一个正则表达式  
host(表达式) # 日志消息的主机名是否和一个正则表达式匹配  
match(表达式) # 对日志消息的内容进行正则匹配  
filter() # 调用另一条过滤规则并判断它的值  

此外,定义规则的时候也可以使用逻辑运算符'and or not'。

示例:
filter f_name {
not facility(news, mail) and not filter(f_iptables);
};

destination选项:
file (filename) # 把日志消息写入指定的文件  
unix-dgram  (filename) # 把日志消息写入指定的SOCK_DGRAM模式的unix套接字  
unix-stream (filename) # 把日志消息写入指定的SOCK_STREAM模式的unix套接字  
udp (ip),(port) # 把日志消息发送到指定的UDP端口  
tcp (ip),(port) # 把日志消息发送到指定的TCP端口  
usertty(username) # 把日志消息发送到已经登陆的指定用户终端窗口  
pipe(filename),fifo(filename) # 把日志消息发送到指定的管道或者FIFO设备  
program(parm) # 启动指定的程序,并把日志消息发送到该进程的标准输入  

示例:
destination d_name {
 file("/var/log/messages");
};  

log说明:
log {
 source(s_name);
 filter(f_name);
 destination(d_name)
};

一条日志的处理流程大概是这样的,如下:
首先是"日志的来源 source s_name { ... };"
然后是"过滤规则 filter f_name { ... };"
再然后是"消息链 log { source(s_name); filter(f_name); destination(d_name) };"
最后是"目标动作 destination d_name { ... };"
这样以来一条日志就根据你的意思来处理了,需要注意的是一条日志消息过了之后,会匹配定义的所有配置,并不是匹配到以后就不再往下匹配了。

注意:'syslog-ng'需要进行额外的安装才能使用。

---------------
参考来源:
syslog.conf配置文件详解
syslog应用详解