centos sftp日志查看与分析

在CentOS系统中，查看和分析SFTP日志可以通过以下步骤进行：

查看SFTP日志

• 查看日志文件：SFTP日志通常记录在 /var/log/auth.log 或 /var/log/secure 文件中。
• 使用 tail 命令实时查看日志：例如，使用 tail -f /var/log/auth.log 可以实时显示日志文件的最新内容。
• 使用 grep 命令过滤日志信息：例如，grep 'sftp' /var/log/auth.log 可以显示包含“sftp”关键字的日志条目。

分析SFTP日志

• 使用 cat 命令查看日志文件内容：例如，cat /var/log/auth.log 可以显示整个日志文件的内容。
• 使用 less 命令分页查看日志文件：例如，less /var/log/auth.log 可以分页查看日志，便于仔细阅读。
• 使用 awk 命令提取特定信息：例如，awk '/error/ {print $1, $2}' /var/log/auth.log 可以提取日志文件中包含“error”的行的前两个字段。
• 使用日志分析工具：可以安装ELK Stack（Elasticsearch, Logstash, Kibana）来分析日志。首先安装ELK Stack，然后通过Logstash配置日志的输入和输出，最后使用Kibana进行日志的可视化分析。

配置SFTP日志记录

• 修改 sshd_config 配置文件：在 /etc/ssh/sshd_config 文件中，可以通过设置 Subsystem sftp internal-sftp -l INFO -f local5 来配置SFTP日志记录级别和输出。
• 修改 rsyslog 配置文件：在 /etc/rsyslog.conf 文件中，添加 auth,authpriv.*,local5.* /var/log/sftp.log 可以将SFTP日志重定向到 /var/log/sftp.log 文件。
• 重启服务：修改配置文件后，需要重启 sshd 和 rsyslog 服务以使配置生效，例如使用 systemctl restart sshd 和 systemctl restart rsyslog 命令。

通过上述步骤，你可以有效地查看和分析CentOS系统中的SFTP日志，从而进行故障排查和安全管理。