Logwatch löser en uppgift som annars inte blir löst alls: det läser alla serverns loggar åt dig och skickar ett sammandrag för dygnet. Ingen går igenom auth.log och webbserverns loggar dagligen, men att läsa ett brev på morgonen är genomförbart.

Problemet är känt: det första brevet kommer på flera hundra rader, det andra skummas igenom, efter en vecka lägger en regel i e-postklienten dem i en egen mapp, och där tar bevakningen slut. Orsaken ligger nästan alltid i standardinställningarna, och det rättas på tio minuter.

Installation och var inställningarna ändras

sudo apt install logwatch

Det är viktigt var du skriver dina egna värden. Filen /usr/share/logwatch/default.conf/logwatch.conf får inte röras — den skrivs över vid paketuppdatering. Din fil är /etc/logwatch/conf/logwatch.conf. Den kan vara tom; det räcker att lägga in det du ändrar.

Output = mail
Format = html
MailTo = admin@example.com
Detail = Low
Range = yesterday

Detaljnivån avgör allt

Detail tar värden från 0 till 10 eller orden Low, Med, High. Skillnaden är enorm: på High omfattar rapporten varje anslutning och varje förfrågan, på Low bara sammanfattande siffror och avvikelser.

Praktiken ser ut så här: allmän nivå Low, och detaljnivån höjs punktvis för de tjänster som verkligen intresserar dig. Inställningar för enskilda tjänster läggs i /etc/logwatch/conf/services/ — till exempel filen sshd.conf med raden Detail = High.

Riktmärke för kontrollen: rapporten ska rymmas på ungefär en till en och en halv skärm. Allt som är längre slutar läsas — inte av lättja, utan för att en avvikelse inte syns bland trehundra rader rutin.

Se resultatet utan att vänta till morgonen:

sudo logwatch --detail Low --range today --output stdout

Tomt SSH-avsnitt på Debian 12

En egen fälla i färska system. Logwatch läser textfiler i /var/log, och Debian 12 och Ubuntu 24.04 installerar inte längre rsyslog som standard — filen /var/log/auth.log finns helt enkelt inte, allt går till systemd-journalen. Rapporten kommer ändå prydligt, men det mest nödvändiga avsnittet — om SSH-inloggningar — är tomt eller saknas.

Kontrollen tar en sekund:

ls -l /var/log/auth.log

Finns filen inte får du antingen installera rsyslog eller acceptera att Logwatch visar en ofullständig bild på den maskinen. Ett tomt avsnitt är lätt att ta för ”ingenting hände”, och det är den farligaste följden.

Vart brevet tar vägen

Den näst vanligaste orsaken till att ”rapporterna kommer inte”: servern har ingen inställd e-postutskick. Logwatch lämnar brevet till systemets agent, den skickar det ingenstans, och det blir liggande i roots lokala brevlåda dit ingen tittar:

sudo cat /var/mail/root | tail -50

Det finns två alternativ. Antingen ställer du in utskick via ett externt SMTP-relä, eller så använder du inte post alls och lägger rapporten i en fil:

Output = file
Filename = /var/log/logwatch/report.txt

Det andra alternativet är ärligare: ett brev som ingen kan leverera skapar en illusion av bevakning, medan en fil på disken åtminstone går att öppna.

Vad du läser i rapporten

I fallande nytta:

  • sshd. Lyckade inloggningar — vem och varifrån. Just lyckade, inte tusentals misslyckade: de misslyckade är bakgrund, medan en inloggning från en okänd adress kräver en förklaring;
  • sudo och pam_unix. Vem som höjde rättigheter och skapade användare;
  • Disk Space. En rad som varnar i förväg för att disken fylls;
  • cron. Nya jobb och jobb som avslutats med fel;
  • http. En topp av 404-svar betyder oftast att någon letar sökvägar, en topp av 500 att något gått sönder hos dig;
  • postfix, om servern skickar post: en växande utgående kö är ett typiskt tecken på att servern börjat användas för utskick.

Användningsgränser

Logwatch är ett sammandrag för det gångna dygnet, inte ett larm. Det väcker dig inte på natten och ligger per definition efter: det startas av ett dagligt jobb mot morgonen och går igenom gårdagen. För ”något händer just nu” duger det inte och är inte avsett.

Dess styrka ligger på annat håll — det visar formen på en vanlig dag. Efter en månads läsning vet du hur många misslyckade inloggningar du normalt har, hur många förfrågningar sajten får och hur många brev som går ut; och när en av de siffrorna fördubblas syns det direkt, utan några trösklar eller regler. Just därför är rapporten värd att ha där den hamnar framför ögonen och inte i en e-postmapp. Hur det ser ut på en sida visar demonstrationen nedan.