linux syslog能记录什么

Linux 的 syslog（系统日志系统，通常指 rsyslog / syslog-ng / 传统 syslogd）可以记录系统和各类软件运行过程中产生的日志信息。具体来说，常见能记录的内容包括以下几类：

一、系统核心与内核日志

• 内核消息（kernel）
  • 硬件检测、驱动加载/卸载
  • 内核报错（Oops、panic）
  • 设备插拔（USB、磁盘等）
• 通常通过 kern.* 记录
• 示例：dmesg 中的内容也会进入 syslog

二、系统服务日志

• 系统守护进程
  • sshd（SSH 登录、失败尝试）
  • cron（定时任务执行）
  • systemd（服务启动/停止/失败）
  • network、dhclient 等网络服务
• 示例：

  sshd[1234]: Failed password for root from 1.2.3.4
  cron[5678]: (root) CMD (/script.sh)
  

三、用户与认证相关

• 登录、注销
  • login、su、sudo
• 认证失败 / 成功
  • PAM 模块日志
• 常用于安全审计
• 通常由 auth / authpriv 设施记录

四、应用程序日志

• 各类软件可主动调用 syslog 接口写日志：
  • Web 服务器（Nginx、Apache）
  • 数据库（MySQL、PostgreSQL）
  • 自定义程序（logger 命令或 syslog API）
• 示例：

  nginx: 192.168.1.10 - "GET /index.html"
  

五、邮件系统日志

• sendmail、postfix、dovecot
• 邮件发送、接收、拒绝、队列状态

六、计划任务与系统事件

• cron 执行记录
• 系统启动、关机、重启
• 时间同步（NTP）

七、按“设施 + 级别”分类记录

syslog 使用 Facility（来源） 和 Severity（级别）：

常见 Facility

• kern：内核
• auth / authpriv：认证
• cron：定时任务
• daemon：系统守护进程
• mail：邮件
• user：用户程序
• local0~local7：自定义

日志级别（从高到低）

1. emerg：系统不可用
2. alert：必须立即处理
3. crit：严重错误
4. err：错误
5. warning：警告
6. notice：注意
7. info：信息
8. debug：调试

八、常见日志文件位置（以 rsyslog 为例）

• /var/log/messages：综合系统日志
• /var/log/secure：认证、安全相关
• /var/log/auth.log（Debian/Ubuntu）
• /var/log/syslog（Ubuntu）
• /var/log/kern.log：内核日志
• /var/log/cron：定时任务

九、不能记录什么？

• 默认不记录命令历史（那是 bash history）
• 不记录文件内容
• 不记录网络包内容（除非应用层主动写）
• 精细程度取决于程序是否调用 syslog

如果你愿意，我可以：

• 给你一个 syslog 配置示例
• 解释 journalctl 和 syslog 的区别
• 或针对 安全审计 / 排错场景 说明该看哪些日志