hids
Ciyfly opened this issue · comments
linux上需要监控的日志
系统日志：
/var/log/boot.log：录了系统在引导过程中发生的事件，就是Linux系统开机自检过程显示的信息
/var/log/lastlog ：记录最后一次用户成功登陆的时间、登陆IP等信息
/var/log/messages ：记录Linux操作系统常见的系统和服务错误信息
/var/log/secure ：Linux系统安全日志，记录用户和工作组变坏情况、用户登陆认证情况
/var/log/btmp ：记录Linux登陆失败的用户、时间以及远程IP地址
/var/log/syslog：只记录警告信息，常常是系统出问题的信息，使用lastlog查看
/var/log/wtmp：该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件，使用last命令查看
/var/run/utmp：该日志文件记录有关当前登录的每个用户的信息。如 who、w、users、finger等就需要访问这个文件
连接时间日志：
/var/log/wtmp
/var/run/utmp
注：这里的日志不能直接用cat命令查看，可以通过w/who/finger/id/last/lastlog/ac进行查看
web服务器日志：
/var/log/nginx：Nginx日志默认位置
$TOMCAT_HOME\logs：Tomcat日志位置
/usr/local/apache/logs/access_log：Apache日志位置
/usr/local/apache2/logs：Apache2日志位置
ebpf实现的edr
https://github.com/sourque/louis