Logwatch løser en oppgave som ellers ikke blir løst i det hele tatt: det leser alle serverens logger for deg og sender et sammendrag for døgnet. Ingen går gjennom auth.log og webserverens logger daglig, men å lese ett brev om morgenen er gjennomførbart.

Problemet er kjent: det første brevet kommer på flere hundre linjer, det andre skummes gjennom, etter en uke legger en regel i e-postklienten dem i en egen mappe, og der tar overvåkingen slutt. Årsaken ligger nesten alltid i standardinnstillingene, og det rettes på ti minutter.

Installasjon og hvor innstillingene endres

sudo apt install logwatch

Det er viktig hvor du skriver dine egne verdier. Filen /usr/share/logwatch/default.conf/logwatch.conf kan ikke røres — den overskrives ved pakkeoppdatering. Din fil er /etc/logwatch/conf/logwatch.conf. Den kan være tom; det holder å legge inn det du endrer.

Output = mail
Format = html
MailTo = admin@example.com
Detail = Low
Range = yesterday

Detaljnivået avgjør alt

Detail tar verdier fra 0 til 10 eller ordene Low, Med, High. Forskjellen er enorm: på High omfatter rapporten hver forbindelse og hver forespørsel, på Low bare sammenfattende tall og avvik.

Praksisen ser slik ut: generelt nivå Low, og detaljnivået heves punktvis for de tjenestene som virkelig interesserer deg. Innstillinger for enkelttjenester legges i /etc/logwatch/conf/services/ — for eksempel filen sshd.conf med linjen Detail = High.

Målestokk for kontrollen: rapporten skal få plass på omtrent én til halvannen skjerm. Alt som er lengre, slutter å bli lest — ikke av latskap, men fordi et avvik ikke synes blant tre hundre linjer rutine.

Se resultatet uten å vente til morgenen:

sudo logwatch --detail Low --range today --output stdout

Tom SSH-seksjon på Debian 12

En egen felle i ferske systemer. Logwatch leser tekstfiler i /var/log, og Debian 12 og Ubuntu 24.04 installerer ikke lenger rsyslog som standard — filen /var/log/auth.log finnes rett og slett ikke, alt går til systemd-journalen. Rapporten kommer likevel pent, men den mest nødvendige seksjonen — om SSH-innlogginger — er tom eller mangler.

Kontrollen tar ett sekund:

ls -l /var/log/auth.log

Finnes ikke filen, må du enten installere rsyslog eller godta at Logwatch viser et ufullstendig bilde på den maskinen. En tom seksjon er lett å ta for «ingenting skjedde», og det er den farligste følgen.

Hvor brevet blir av

Den nest vanligste grunnen til at «rapportene kommer ikke»: serveren har ingen oppsatt e-postutsending. Logwatch leverer brevet til systemets agent, den sender det ingen steder, og det blir liggende i roots lokale postkasse som ingen ser i:

sudo cat /var/mail/root | tail -50

Det finnes to alternativer. Enten setter du opp utsending via et eksternt SMTP-relé, eller så bruker du ikke post i det hele tatt og legger rapporten i en fil:

Output = file
Filename = /var/log/logwatch/report.txt

Det andre alternativet er ærligere: et brev ingen kan levere, skaper en illusjon av overvåking, mens en fil på disken i det minste lar seg åpne.

Hva du leser i rapporten

I synkende nytte:

  • sshd. Vellykkede innlogginger — hvem og hvorfra. Nettopp vellykkede, ikke tusenvis av mislykkede: de mislykkede er bakgrunn, mens en innlogging fra en ukjent adresse krever en forklaring;
  • sudo og pam_unix. Hvem som hevet rettigheter og opprettet brukere;
  • Disk Space. Én linje som varsler på forhånd om at disken fylles;
  • cron. Nye jobber og jobber som avsluttet med feil;
  • http. En topp av 404-svar betyr som regel at noen leter etter stier, en topp av 500 at noe har røket hos deg;
  • postfix, hvis serveren sender post: en voksende utgående kø er et typisk tegn på at serveren har begynt å bli brukt til utsending.

Bruksgrenser

Logwatch er et sammendrag for det gangne døgnet, ikke et varsel. Det vekker deg ikke om natten og ligger per definisjon etter: det startes av en daglig jobb mot morgenen og går gjennom gårsdagen. Til «noe skjer akkurat nå» duger det ikke og er ikke ment for det.

Styrken ligger et annet sted — det viser formen på en vanlig dag. Etter en måneds lesing vet du hvor mange mislykkede innlogginger du normalt har, hvor mange forespørsler nettstedet får, og hvor mange brev som går ut; og når ett av de tallene dobles, synes det med en gang, uten noen terskler eller regler. Nettopp derfor er rapporten verdt å ha der den havner foran øynene, og ikke i en e-postmappe. Hvordan det ser ut på én side, viser demonstrasjonen nedenfor.