O Logwatch resolve uma tarefa que de outro modo fica por resolver: lê por si todos os registos do servidor e envia um resumo do dia anterior. Ninguém percorre diariamente o auth.log e os registos do servidor web, ao passo que ler uma mensagem de manhã é exequível.

O problema é conhecido: a primeira mensagem chega com várias centenas de linhas, a segunda é lida na diagonal, uma semana depois uma regra do correio manda-as para uma pasta à parte, e aí acaba a vigilância. A causa está quase sempre nas definições por omissão, e corrige-se em dez minutos.

Instalação e onde mudar as definições

sudo apt install logwatch

Importa onde escreve os seus valores. O ficheiro /usr/share/logwatch/default.conf/logwatch.conf não deve ser tocado: é sobrescrito na atualização do pacote. O seu ficheiro é /etc/logwatch/conf/logwatch.conf. Pode estar vazio; basta acrescentar-lhe apenas o que muda.

Output = mail
Format = html
MailTo = admin@example.com
Detail = Low
Range = yesterday

O nível de detalhe decide tudo

Detail aceita valores de 0 a 10 ou as palavras Low, Med, High. A diferença é enorme: em High o relatório contém cada ligação e cada pedido; em Low, apenas totais e anomalias.

A prática é esta: Low no geral, e o detalhe elevado de forma pontual para os serviços que realmente lhe interessam. As definições por serviço vão para /etc/logwatch/conf/services/: por exemplo um ficheiro sshd.conf com a linha Detail = High.

Uma referência para verificar: o relatório deve caber num ecrã ou ecrã e meio. Tudo o que for mais longo deixará de ser lido, não por preguiça mas porque entre trezentas linhas de rotina um desvio é invisível.

Para ver o resultado sem esperar pela manhã:

sudo logwatch --detail Low --range today --output stdout

Secção do SSH vazia no Debian 12

Uma armadilha própria dos sistemas recentes. O Logwatch lê ficheiros de texto em /var/log, e o Debian 12 e o Ubuntu 24.04 já não instalam o rsyslog por omissão: o ficheiro /var/log/auth.log simplesmente não existe, tudo vai para o diário do systemd. O relatório chega na mesma, mas a secção mais importante — os acessos por SSH — sai vazia ou em falta.

A verificação demora um segundo:

ls -l /var/log/auth.log

Se não houver ficheiro, ou instala o rsyslog, ou aceita que o Logwatch nesta máquina mostra um quadro incompleto. Uma secção vazia lê-se facilmente como «não aconteceu nada», e essa é a consequência mais perigosa.

Para onde vai a mensagem

A segunda causa frequente do «os relatórios não chegam»: no servidor não está configurado o envio de correio. O Logwatch entrega a mensagem ao agente do sistema, que não a envia para lado nenhum, e ela fica na caixa local do root, onde ninguém olha:

sudo cat /var/mail/root | tail -50

Há duas opções. Ou configurar o envio por um relé SMTP externo, ou prescindir do correio e escrever o relatório num ficheiro:

Output = file
Filename = /var/log/logwatch/report.txt

A segunda é mais honesta: uma mensagem que ninguém consegue entregar cria a ilusão de vigilância, ao passo que um ficheiro no disco pode pelo menos ser aberto.

O que ler no relatório

Por utilidade decrescente:

  • sshd. Os acessos bem-sucedidos: quem e de onde. Precisamente os bem-sucedidos, não os milhares de falhas: as falhas são ruído de fundo, ao passo que um acesso a partir de um endereço desconhecido exige explicação;
  • sudo e pam_unix. Quem elevou privilégios e quem criou utilizadores;
  • Disk Space. Uma linha que avisa com antecedência de um disco a encher;
  • cron. As tarefas que surgiram e as que falharam;
  • http. Um pico de respostas 404 costuma significar varredura de caminhos; um pico de 500, que algo seu se partiu;
  • postfix, se o servidor envia correio: uma fila de saída a crescer é o sinal típico de que o servidor está a ser usado como relé de spam.

Os limites

O Logwatch é um resumo do dia anterior, não um alerta. Não o acordará de noite e está atrasado por natureza: corre de madrugada a partir de uma tarefa diária e trata do dia anterior. Para «está a acontecer alguma coisa agora» não serve nem foi pensado.

A sua força está noutro lado: mostra-lhe a forma de um dia vulgar. Ao fim de um mês de leitura sabe quantos acessos falhados são normais, quantos pedidos recebe o sítio e quanto correio sai; e quando um desses números duplica, salta à vista de imediato, sem limiares nem regras. Por isso vale a pena ter o relatório onde chame a atenção, e não numa pasta de correio. Como fica numa página mostra-o a demonstração abaixo.