Logwatch は、放っておけば決して解かれない問題を解きます。あなたの代わりにサーバーのログをすべて読み、前日の要約を送ってくれるのです。auth.log と Web サーバーのログを毎日めくる人はいませんが、朝にメールを一通読むことならできます。

知られた問題はこうです。最初の便りが数百行を連れてきて、二通目はざっと目を通され、一週間後にはメールの振り分け規則が別のフォルダへ放り込み、見張ることはそこで終わります。原因はほぼ必ず既定の設定であり、直すのに十分かかります。

インストールと設定をどこで変えるか

sudo apt install logwatch

自分の値をどこに置くかが重要です。ファイル /usr/share/logwatch/default.conf/logwatch.conf には触れないでください——パッケージ更新で上書きされます。あなたのファイルは /etc/logwatch/conf/logwatch.conf です。空でも構いません。変えるものだけを足せば十分です。

Output = mail
Format = html
MailTo = admin@example.com
Detail = Low
Range = yesterday

詳細度がすべてを決める

Detail は 0 から 10 の値、あるいは Low、Med、High の語を取ります。差は絶大です。High ではレポートにあらゆる接続とあらゆるリクエストが入り、Low では合計と異常だけになります。

実務としてはこうです。全体は Low、そして本当に気にかけているサービスについてだけ選んで詳細度を上げる。サービスごとの設定は /etc/logwatch/conf/services/ に置きます——たとえば Detail = High の一行を書いた sshd.conf です。

確認の目安は、レポートが一画面から一画面半に収まることです。それより長いものは読まれなくなります——怠慢のせいではなく、三百行の日常の中では逸脱がそもそも見えないからです。

朝を待たずに結果を見るには：

sudo logwatch --detail Low --range today --output stdout

Debian 12 での空の SSH の節

新しめのシステムにある別の落とし穴です。Logwatch は /var/log のテキストファイルを読みますが、Debian 12 と Ubuntu 24.04 は既定で rsyslog を入れなくなりました——ファイル /var/log/auth.log はそもそも存在せず、すべては systemd のジャーナルへ行きます。レポートは律儀に届き続けますが、最も重要な節——SSH のログイン——は空になるか、そもそも無くなります。

確認は一秒で済みます。

ls -l /var/log/auth.log

ファイルが無ければ、rsyslog を入れるか、このマシンでは Logwatch が不完全な絵を見せていると受け入れるかです。そして空の節を「何も起きなかった」と読むのはとても簡単で、それこそが最も危険な帰結です。

メールはどこへ行くのか

「レポートが届かない」の二番目に多い原因は、サーバーでメールの配送がそもそも設定されていないことです。Logwatch は便りをシステムのエージェントへ渡し、エージェントはどこへも送らず、便りは誰も覗かない root のローカルの受信箱に居座ります。

sudo cat /var/mail/root | tail -50

道は二つ。外部の SMTP リレー経由で配送を設定するか、あるいはメールを使わずレポートをファイルへ書くかです。

Output = file
Filename = /var/log/logwatch/report.txt

二つ目のほうが正直です。誰も配送できないメールは見張っているという錯覚を作りますが、ディスク上のファイルなら少なくとも開けます。

レポートで何を読むか

有用性の高い順に：

  • sshd。成功したログイン——誰がどこから。まさに成功したものであって、何千もの失敗ではありません。失敗は背景であり、見知らぬアドレスからのログインは説明を求めるものです；
  • sudo と pam_unix。誰が権限を上げ、誰がユーザーを作ったか；
  • Disk Space。埋まっていくディスクについて前もって警告する一行；
  • cron。現れたジョブと、失敗したジョブ；
  • http。404 の応答の急増はたいていパスの探索を意味し、500 の急増はあなたの何かが壊れたことを意味します；
  • postfix、サーバーがメールを送るなら：外向きのキューの増大は、サーバーがスパムの中継として使われている典型的な兆候です。

その限界

Logwatch は前日の要約であって警報ではありません。夜中にあなたを起こしませんし、定義上遅れています。早朝の日次ジョブから走り、昨日を扱うからです。「いま何かが起きている」には向いていませんし、そのために作られてもいません。

その強みは別のところにあります——普通の一日の形をあなたに見せてくれることです。一か月読めば、通常は失敗ログインが何件あり、サイトがどれだけのリクエストを受け、どれだけのメールが出て行くかが分かります。そしてそのどれかの数字が倍になれば、閾値も規則も無しに、それはすぐ目に入ります。だからこそレポートは、メールのフォルダの中ではなく目に入る場所に置く価値があるのです。それが一つのページでどう見えるかは下のデモで。