Qué son, cómo funcionan y qué utilidad tienen los logs en Linux

En el siguiente artículo veremos nociones generales sobre los logs en Linux. En las explicaciones del artículo únicamente considero el sistema de logs proporcionado por rsyslog. Journald/Systemd será abordado en futuros artículos.

¿QUÉ SON LOS LOGS DE UN SISTEMA OPERATIVO GNU LINUX?

Los logs o registros del sistema son ficheros de texto que registran cronológicamente la totalidad de actividades e incidencias importantes que ocurren en el sistema operativo o red.

Tienen que ser conscientes que Linux registra absolutamente todo lo que pasa en el sistema operativo mediante los logs. Este es uno de los motivos por los que Linux es un sistema operativo excelente.

¿QUÉ REGISTRAN LOS LOGS DE UN SISTEMA OPERATIVO GNU LINUX?

Algunos ejemplos de la información que contienen los logs en Linux son los siguientes:

1. Los paquetes que se instalan y desinstalan en el sistema operativo.
2. Información sobre los accesos remotos a nuestro equipo.
3. Los intentos fallidos de autenticación de los usuarios al equipo.
4. Registro de errores que se dan en los programas o servicios que usamos.
5. Los accesos o salidas bloqueadas por nuestro firewall.
6. Etc.

Como acaban de ver, los logs en Linux son una fuente básica para saber que está pasando en nuestro equipo. Por lo tanto, todo administrador de sistemas debería saber como consultar los logs para de este modo:

1. Detectar la causas de los problemas que puede tener un equipo o servidor.
2. Registrar y detectar ataques informáticos por parte de un hacker.
3. Detectar comportamientos anómalos de programas o servicios que tenemos instalados en nuestro equipo.
4. Ver el rendimiento de un ordenador o servidor.
5. Averiguar que ocurrió en una determinada actualización de un equipo.
6. Etc.

Nota: En apartados posteriores verán otros ejemplos de usos e información que contienen los logs en Linux.

¿CÓMO SE CLASIFICAN LOS LOGS DE LINUX Y DÓNDE SE ENCUENTRAN?

Simplificando al máximo los logs en Linux se pueden clasificar del siguiente modo:

1. Logs de sistema: Generalmente generados por el demonio Rsyslogd. Registran información relacionada con el funcionamiento del sistema operativo. Algunos ejemplos de logs de sistema son los que registran información sobre los servicios, los que registran los accesos al equipo, los mensajes del sistema, etc.
2. Logs de programas: Son aquellos que registran cronológicamente los eventos más importantes mientras estamos usando una aplicación o programa. En este caso, los logs pueden ser generados por la propia aplicación o por Rsyslogd.

Prácticamente la totalidad de logs se almacenan en las siguientes ubicaciones:

1. En el directorio /var/log.
2. En los subdirectorios de /var/log.

No obstante, es posible encontrar programas que guarden los logs en otras ubicaciones del sistema operativo.

¿Qué contienen los logs de sistema y como podemos consultarlos?

A continuación les dejaré una tabla en la que mostraremos la siguiente información:

1. Los logs de sistema más importantes.
2. La información que almacenan cada uno de los logs de sistema y para que puede sernos útil.
3. Los comandos que tenemos que usar para consultar cada uno de los logs.

Nota: Existen más logs en Linux, no obstante en el artículo solo he comentado los que considero más importantes.

¿Qué contienen los logs de aplicaciones y como podemos consultarlos?

Del mismo modo que en el apartado anterior, a continuación veremos:

1. Los logs de las aplicaciones o programas más importantes.
2. La información que almacenan cada uno de los logs y para que puede sernos útil.
3. Los comandos que tenemos que usar para consultar cada uno de los logs.

Nota: Existen más logs, no obstante en el artículo solo he comentado los que considero más importantes.

COMO CONSULTAR LA INFORMACIÓN CONTENIDA EN LOS LOGS

En apartados anteriores existen tablas en que se detallan los comandos a usar para consultar cada uno de los logs de nuestro sistema operativo. Si las consultan verán que podremos consultar la gran mayoría de logs mediante las siguientes utilidades:

1. less: Utilidad que permite leer ficheros de texto en Linux.
2. zless: Comando que permite visualizar ficheros comprimidos por el sistema de rotación de logs.
3. tail: Utilidad que sirve para mostrar las 10 últimas líneas de un log o fichero de texto.
4. head: Programa para visualizar las 10 primeras líneas de un log o fichero de texto.
5. Etc.

A modo de ejemplo, si queremos consultar el log /var/log/auth.log tan solo tenemos ejecutar un comando del siguiente tipo:

1. En la primera parte del comando tenemos que teclear la utilidad que queremos usar para ver el log. En mi caso acostumbro a usar less.
2. En la segunda parte tan solo tenemos que indicar la ruta completa del log a visualizar.

Por lo tanto, para visualizar el contenido del log /var/log/auth.log ejecutaremos el siguiente comando:

sudo less /var/log/auth.log

Nota: En futuros artículos mostraremos como podemos consultar los logs de nuestro sistema mediante journalctl.

En el caso que quieran consultar los logs mediante una interfaz gráfica les recomiendo que lean el siguiente apartado.

Consultar los logs del sistema a través de un entorno gráfico

Existen diversos programas para consultar los logs a través de una interfaz gráfica. Algunos de ellos son:

1. gnome-logs: Programa del entorno gnome usado para visualizar los logs registrados por journald.
2. KSystemLog: Utilidad elaborada por el equipo de KDE que nos permitirá consultar los logs del sistema operativo registrados por journald.
3. gnome-system-log: Aplicación que al igual que las anteriores nos permitirá consultar los registros del sistema.
4. Etc.

A los usuarios que utilicen entornos de escritorio basados en Gnome les recomiendo Gnome logs por los siguientes motivos:

1. Mantiene un desarrollo activo por parte del equipo de Gnome. Por lo tanto tendremos garantías que el programa funcionará de forma adecuada.
2. Los logs son clasificados por días y por categorías como por ejemplo Hardware, Sistema, Aplicaciones, Seguridad e Importante. De esta forma es más fácil consultar los logs del sistema.
3. Tiene implementado un sistema de búsqueda por palabras.
4. Si clicamos encima del evento obtendremos información detallada sobre el mismo.
5. La interfaz gráfica está traducida a varios idiomas.

Para instalar gnome-logs tan solo tienen que ejecutar el siguiente comando en la terminal:

sudo apt install gnome-logs

En el caso que sean usuarios del entorno plasma la mejor opción será KsystemLog. Para instalar KsystemLog tendrán que ejecutar el siguiente comando en la terminal:

sudo apt install ksystemlog

KsystemLog es mucho más completo que Gnome-logs. No obstante si lo instalamos en entornos de escritorio gnome tendremos que instalar una gran cantidad de dependencias adicionales.

Las características adicionales respecto Gnome logs que ofrecerá KsystemLog son las siguientes:

1. Filtrar los logs por prioridad, por fecha, por servidor, proceso, mensaje, etc.
2. Posibilidad de añadir varias pestañas para visualizar los logs de forma mucho más cómoda.
3. Líneas del registro de logs coloreadas.
4. Capacidad para copiar líneas del registro de logs al portapapeles.
5. Etc.

COMO SE REGISTRAN LOS LOGS EN LINUX

La totalidad de logs de nuestro equipo los registran y gestionan los demonios rsyslogd y/o journald.

Nota: Existen otros demonios para gestionar los logs en Linux. No obstante rsyslogd es el más habitual. Otros demonio que se pueden usar son syslog-ng o syslog.

Como en este artículo solo consideramos rsyslogd, a continuación detallaremos el funcionamiento de rsyslogd:

1. Recolecta la totalidad de mensajes que provienen de servicios, aplicaciones y kernel del sistema operativo.
2. Redirige cada uno de estos mensajes al archivo de registro o log correspondiente. Los archivos de registro acostumbran a estar almacenados en la ubicación /var/log.

Nota: Rsyslog también es capaz de redirigir los mensajes hacia un servidor Linux externo u a otro equipo que esté en la misma red. Los protocolos usados para enviar los logs a equipos remotos pueden ser el TCP, UDP y RELP. De este modo rsyslog actúa como un servidor o cliente de logs.

Para realizar las tareas que acabo de citar rsyslogd opera del siguiente modo:

1. La aplicaciones, los servicios y el Kernel escribirán sus mensajes en diversos socket y buffer de memoria. Algunos de los socket y buffer de memoria son /dev/log, /dev/kmsg, /proc/kmsg, etc.
2. Acto seguido el demonio rsyslogd leerá/obtendrá el contenido de los distintos socket y buffer de memoria.
3. Rsyslogd procesará los mensajes de los socket y buffer de memoria en función de la configuración/reglas de los ficheros /etc/rsyslog.conf o /etc/rsyslog.d/50-default.conf en Ubuntu. Los ficheros de configuración que acabo de citar especifican el fichero o log en que se deben almacenar cada uno de los mensajes adquiridos por rsyslogd.

Nota: Un socket es un fichero especial que se usa para transferir información entre distintos procesos. En otras palabras, los procesos pueden leer y escribir datos en un socket/fichero con el fin de comunicarse entre ellos.

Para ver los sockets de nuestro sistema operativo podemos usar el comando:

systemctl list-sockets --all

Para comprobar que el demonio rsyslogd está activo podemos ejecutar el siguiente comando en la terminal:

sudo service rsyslog status

Fichero de configuración de rsyslogd

Como acabamos de ver, rsyslogd lee los mensajes de varios socket y buffer de memoria. Acto seguido rsyslogd ubica cada uno de los mensajes en los ficheros/logs pertinentes. Las reglas que rsyslogd utiliza para procesar los mensajes provenientes del socket se definen en los ficheros /etc/rsyslog.d/50-default.conf y/o /etc/rsyslog.conf. A través de estos ficheros podremos configurar los siguientes aspectos:

1. Definir el propietario y el grupo al que pertenecen los logs.
2. Establecer los permisos de los logs y de los directorios que contienen los logs.
3. Definir si queremos disponer un log individual para registrar la actividad de un determinado servicio o utilidad. Por ejemplo, para registrar todos los mensajes del servicio cron en la ubicación /var/log/cron.log descomentaremos la línea cron.* /var/log/cron.log del fichero de configuración /etc/rsyslog.conf o /etc/rsyslog.d/50-default.conf en Ubuntu.
4. Definir el nivel prioridad de las actividades que queremos registrar. A modo de ejemplo, con el código “kern.crit /var/log/kernlog” el fichero kernlog únicamente registrará las actividades del kernel que se consideren críticas. Los niveles de prioridad existentes son emerg, alert, crit, err, warning, notice, info y debug. Si usamos el símbolo * el log contendrá la totalidad de logs independientemente de su nivel de prioridad.

Para consultar y editar el fichero de configuración deben ejecutar los siguientes comandos:

sudo nano /etc/rsyslog.conf

sudo nano /etc/rsyslog.d/50-default.conf

Nota: Tengan cuidado a la hora de editar los ficheros de configuración. Antes de modificar la configuración estándar hagan una copia de seguridad.

MECANISMO DE ROTACIÓN DE LOGS EN LINUX

Si observáis los logs veréis que muchos tienen un nombre parecido. A modo de ejemplo os encontraréis con la siguiente situación:

auth.log
auth.log.1
auth.log.2.gz
auth.log.3.gz
auth.log.4.gz

La totalidad de archivos que he nombrado contienen información del mismo tipo. En este caso existen 4 archivos que han sido creados por el mecanismo de rotación de logs.

La función del mecanismo de rotación de logs es evitar que los logs consuman todo el espacio de almacenamiento y sean fáciles de consultar. Si analizamos el comportamiento del log auth.log veremos que semanalmente realiza las siguientes operaciones:

1. El contenido que estaba en el fichero auth.log.4gz se borrará y perderá de forma definitiva.
2. El contenido que estaba en el fichero auth.log.3 se trasladará al fichero comprimido auth.log.4.gz.
3. El contenido que estaba en el fichero auth.log.2 se traspasará ql fichero comprimido auth.log.3.gz.
4. El contenido que estaba en el fichero auth.log.1 se comprimirá y trasladará al fichero auth.log.2.gz.
5. Finalmente, la información almacenada en auth.log se trasladará al fichero auth.log.1 y el fichero auth.log quedará vacío y listo para seguir registrando información.

Trabajando de esta forma únicamente estaremos almacenando los logs de las últimas 4-5 semanas. Por lo tanto, para consultar las autenticaciones al sistema operativo de 3 semanas atrás deberemos consultar el log auth.log.3.gz

La rotación de los logs es una tarea programada que se realiza de forma periódica. Los logs se rotan en función de un criterio que nosotros mismos podemos configurar. El criterio de rotación de logs se establece en los ficheros de configuración ubicados en /etc/logrotate.d

A modo de ejemplo si quieren ver la configuración establecida para rotar el log auth.log ejecuten el siguiente comando:

less /etc/logrotate.d/rsyslog

La configuración establecida en mi caso es la siguiente:

/var/log/auth.log
{
  rotate 4
  weekly
  missingok
  notifempty
  compress
  delaycompress
  sharedscripts
  postrotate
    invoke-rc.d rsyslog rotate > /dev/null
  endscript
}

El código mencionado establece el criterio para rotar el log /var/log/auth.log. El método de rotación es el que se estable en el inicio de este último apartado.

En siguientes artículos continuaremos tratando más temas sobre los logs en Linux.