Logwatch lost een taak op die anders onopgelost blijft: het leest voor u alle logboeken van de server en stuurt een samenvatting van de afgelopen dag. Niemand loopt dagelijks auth.log en de webserverlogboeken door, terwijl één bericht ’s ochtends lezen wel haalbaar is.

Het probleem is bekend: het eerste bericht komt met enkele honderden regels, het tweede wordt vluchtig bekeken, een week later verplaatst een mailregel ze naar een aparte map, en daar houdt het toezicht op. De oorzaak ligt vrijwel altijd in de standaardinstellingen, en het herstel kost tien minuten.

Installatie en waar u de instellingen wijzigt

sudo apt install logwatch

Waar u uw waarden schrijft doet ertoe. Het bestand /usr/share/logwatch/default.conf/logwatch.conf blijft onaangeroerd: dat wordt bij een pakketupdate overschreven. Uw bestand is /etc/logwatch/conf/logwatch.conf. Het mag leeg zijn; het volstaat er alleen in te zetten wat u wijzigt.

Output = mail
Format = html
MailTo = admin@example.com
Detail = Low
Range = yesterday

Het detailniveau bepaalt alles

Detail accepteert waarden van 0 tot 10 of de woorden Low, Med, High. Het verschil is enorm: bij High bevat het rapport elke verbinding en elk verzoek, bij Low alleen totalen en afwijkingen.

De praktijk: Low in het algemeen, en het detail gericht verhoogd voor de diensten die u werkelijk aangaan. Instellingen per dienst komen in /etc/logwatch/conf/services/ — bijvoorbeeld een bestand sshd.conf met de regel Detail = High.

Een maatstaf ter controle: het rapport moet op één tot anderhalf scherm passen. Alles wat langer is zal niet meer worden gelezen — niet uit luiheid, maar omdat tussen driehonderd regels routine een afwijking onzichtbaar is.

Om het resultaat te zien zonder op de ochtend te wachten:

sudo logwatch --detail Low --range today --output stdout

Lege SSH-sectie op Debian 12

Een valkuil eigen aan recente systemen. Logwatch leest tekstbestanden in /var/log, en Debian 12 en Ubuntu 24.04 installeren rsyslog niet meer standaard: het bestand /var/log/auth.log bestaat eenvoudigweg niet, alles gaat naar het systemd-journaal. Het rapport komt niettemin keurig binnen, maar de belangrijkste sectie — de SSH-aanmeldingen — blijft leeg of ontbreekt.

De controle duurt een seconde:

ls -l /var/log/auth.log

Is er geen bestand, dan installeert u rsyslog of aanvaardt u dat Logwatch op deze machine een onvolledig beeld toont. Een lege sectie leest makkelijk als «er is niets gebeurd», en dat is het gevaarlijkste gevolg.

Waar het bericht heen gaat

De op één na vaakst voorkomende oorzaak van «de rapporten komen niet aan»: op de server is geen mailverzending ingericht. Logwatch geeft het bericht aan de systeemagent, die het nergens heen stuurt, en het belandt in de lokale postbus van root, waar nooit iemand kijkt:

sudo cat /var/mail/root | tail -50

Er zijn twee opties. Of de verzending via een externe SMTP-relais inrichten, of van mail afzien en het rapport naar een bestand schrijven:

Output = file
Filename = /var/log/logwatch/report.txt

De tweede is eerlijker: een bericht dat niemand kan bezorgen wekt de schijn van toezicht, terwijl een bestand op schijf tenminste geopend kan worden.

Wat u in het rapport leest

Op aflopend nut:

  • sshd. De geslaagde aanmeldingen — wie en vanwaar. Juist de geslaagde, niet de duizenden mislukkingen: mislukkingen zijn achtergrond, terwijl een aanmelding vanaf een onbekend adres uitleg vergt;
  • sudo en pam_unix. Wie rechten verhoogde en wie gebruikers aanmaakte;
  • Disk Space. Eén regel die tijdig waarschuwt voor een vollopende schijf;
  • cron. Taken die zijn bijgekomen en taken die faalden;
  • http. Een piek in 404-antwoorden betekent meestal het aflopen van paden; een piek in 500'en dat er iets van u stuk is;
  • postfix, als de server mail verstuurt: een groeiende uitgaande wachtrij is het typische teken dat de server als spamrelais wordt gebruikt.

De grenzen

Logwatch is een samenvatting van de afgelopen dag, geen alarm. Het maakt u ’s nachts niet wakker en loopt van nature achter: het draait in de vroege uren vanuit een dagtaak en behandelt gisteren. Voor «er gebeurt nu iets» is het niet geschikt en ook niet bedoeld.

Zijn kracht ligt elders — het toont u de vorm van een gewone dag. Na een maand lezen weet u hoeveel mislukte aanmeldingen normaal zijn, hoeveel verzoeken de site krijgt en hoeveel mail er uitgaat; en verdubbelt een van die getallen, dan valt dat meteen op, zonder drempels en zonder regels. Daarom loont het het rapport te bewaren waar het in het oog springt, en niet in een mailmap. Hoe dat op een pagina oogt, toont de demo hieronder.