Logwatch rezolvă o sarcină care altfel nu se rezolvă deloc: citește în locul tău toate jurnalele serverului și trimite un rezumat pe zi. Nimeni nu parcurge zilnic auth.log și jurnalele serverului web, dar să citești o scrisoare dimineața este realizabil.

Problema este cunoscută: prima scrisoare are câteva sute de linii, a doua este parcursă în diagonală, peste o săptămână o regulă din client o mută într-un dosar separat și acolo se încheie supravegherea. Cauza este aproape întotdeauna în setările implicite și se corectează în zece minute.

Instalarea și unde se schimbă setările

sudo apt install logwatch

Contează unde îți scrii valorile. Fișierul /usr/share/logwatch/default.conf/logwatch.conf nu trebuie atins — se suprascrie la actualizarea pachetului. Fișierul tău este /etc/logwatch/conf/logwatch.conf. Poate fi gol, e suficient să adaugi în el doar ce schimbi.

Output = mail
Format = html
MailTo = admin@example.com
Detail = Low
Range = yesterday

Totul depinde de nivelul de detaliu

Detail acceptă valori de la 0 la 10 sau cuvintele Low, Med, High. Diferența este uriașă: la High raportul include fiecare conexiune și fiecare cerere, la Low doar cifre agregate și abateri.

Practica este aceasta: nivel general Low, iar detaliul crește punctual pentru serviciile care te interesează cu adevărat. Setările serviciilor individuale se pun în /etc/logwatch/conf/services/ — de exemplu, un fișier sshd.conf cu linia Detail = High.

Reper pentru verificare: raportul trebuie să încapă pe aproximativ un ecran, un ecran și jumătate. Tot ce este mai lung nu va mai fi citit — nu din lene, ci pentru că printre trei sute de linii de rutină abaterea nu se vede.

Vezi rezultatul fără să aștepți dimineața:

sudo logwatch --detail Low --range today --output stdout

Secțiunea SSH goală pe Debian 12

O capcană separată a sistemelor recente. Logwatch citește fișiere text din /var/log, iar Debian 12 și Ubuntu 24.04 nu mai instalează implicit rsyslog — fișierul /var/log/auth.log pur și simplu nu există, totul merge în jurnalul systemd. Raportul sosește totuși ca de obicei, dar secțiunea cea mai necesară — despre autentificările SSH — este goală sau lipsește.

Verificarea durează o secundă:

ls -l /var/log/auth.log

Nu există fișier — fie instalăm rsyslog, fie acceptăm că pe această mașină Logwatch arată un tablou incomplet. O secțiune goală este ușor de luat drept „nu s-a întâmplat nimic”, iar aceasta este cea mai periculoasă consecință.

Unde dispare scrisoarea

A doua cauză frecventă pentru „rapoartele nu sosesc”: pe server nu este configurată trimiterea poștei. Logwatch predă scrisoarea agentului de sistem, acesta nu o trimite nicăieri, iar ea rămâne în cutia locală a lui root, unde nu se uită nimeni:

sudo cat /var/mail/root | tail -50

Sunt două variante. Fie configurezi trimiterea printr-un releu SMTP extern, fie nu folosești deloc poșta și pui raportul într-un fișier:

Output = file
Filename = /var/log/logwatch/report.txt

A doua variantă este mai onestă: o scrisoare pe care nu are cine să o livreze creează iluzia supravegherii, în timp ce un fișier de pe disc măcar poate fi deschis.

Ce se citește în raport

În ordinea descrescătoare a utilității:

  • sshd. Autentificările reușite — cine și de unde. Tocmai cele reușite, nu miile de eșecuri: eșecurile sunt fond, în timp ce o autentificare de la o adresă necunoscută cere o explicație;
  • sudo și pam_unix. Cine a ridicat drepturi și a creat utilizatori;
  • Disk Space. O singură linie care avertizează din timp despre umplerea discului;
  • cron. Sarcinile nou apărute și cele încheiate cu eroare;
  • http. Un salt al răspunsurilor 404 înseamnă de obicei căutarea de căi, un salt de 500 — că s-a stricat ceva la tine;
  • postfix, dacă serverul trimite poștă: creșterea cozii de ieșire este un semn tipic că serverul a început să fie folosit pentru trimiteri în masă.

Limitele de aplicabilitate

Logwatch este un rezumat al zilei trecute, nu o alertă. Nu te trezește noaptea și, prin definiție, rămâne în urmă: pornește printr-o sarcină zilnică spre dimineață și analizează ziua de ieri. Pentru „se întâmplă ceva chiar acum” nu se potrivește și nici nu este destinat.

Puterea lui este în altceva — arată forma unei zile obișnuite. După o lună de citit știi câte autentificări eșuate ai în mod normal, câte cereri primește site-ul și câte scrisori pleacă; iar când una dintre aceste cifre se dublează, se vede imediat, fără niciun prag și fără reguli. Tocmai de aceea are sens să ții raportul acolo unde îți sare în ochi, nu într-un dosar de poștă. Cum arată asta pe pagină arată demonstrația de mai jos.