Logwatch, başka türlü çözülmeden kalan bir sorunu çözer: sunucunun bütün günlüklerini sizin yerinize okur ve geçen güne dair bir özet gönderir. auth.log ile web sunucusu günlüklerini her gün kimse baştan sona okumaz, oysa sabah tek bir e-posta okumak yapılabilir bir iştir.

Bilinen sorun: ilk ileti birkaç yüz satırla gelir, ikincisine göz gezdirilir, bir hafta sonra bir posta kuralı onları ayrı bir klasöre yollar ve izleme orada biter. Neden neredeyse her zaman varsayılan ayarlardır ve düzeltmek on dakika sürer.

Kurulum ve ayarlar nerede değiştirilir

sudo apt install logwatch

Değerlerinizi nereye koyduğunuz önemlidir. /usr/share/logwatch/default.conf/logwatch.conf dosyasına dokunulmamalıdır — paket güncellendiğinde üzerine yazılır. Sizin dosyanız /etc/logwatch/conf/logwatch.conf dosyasıdır. Boş olabilir; yalnızca değiştirdiğinizi eklemek yeterlidir.

Output = mail
Format = html
MailTo = admin@example.com
Detail = Low
Range = yesterday

Her şeyi ayrıntı düzeyi belirler

Detail, 0’dan 10’a kadar değerler ya da Low, Med, High kelimelerini alır. Fark muazzamdır: High düzeyinde rapor her bağlantıyı ve her isteği içerir; Low düzeyinde yalnızca toplamları ve sapmaları.

Uygulama şöyledir: genel olarak Low, gerçekten önemsediğiniz servisler için ayrıntı seçici biçimde yükseltilir. Servis başına ayarlar /etc/logwatch/conf/services/ içine konur — örneğin Detail = High satırını içeren bir sshd.conf dosyası.

Kontrol için bir ölçüt: rapor bir ekrana ya da bir buçuk ekrana sığmalıdır. Daha uzunu okunmaz olacaktır — tembellikten değil, üç yüz satırlık rutinin içinde bir sapma görünmez olduğu için.

Sabahı beklemeden sonucu görmek için:

sudo logwatch --detail Low --range today --output stdout

Debian 12’de boş SSH bölümü

Güncel sistemlerde ayrı bir tuzak. Logwatch /var/log içindeki metin dosyalarını okur ve Debian 12 ile Ubuntu 24.04 artık varsayılan olarak rsyslog kurmaz — /var/log/auth.log dosyası basitçe yoktur ve her şey systemd günlüğüne gider. Rapor yine düzenli gelir, ama en önemli bölüm — SSH oturum açmaları — boş çıkar ya da hiç bulunmaz.

Kontrol bir saniye sürer:

ls -l /var/log/auth.log

Dosya yoksa ya rsyslog kurulur ya da bu makinede Logwatch’un eksik bir resim gösterdiği kabul edilir. Boş bir bölümü «hiçbir şey olmadı» diye okumak kolaydır ve en tehlikeli sonuç budur.

Posta nereye gidiyor

«Raporlar gelmiyor» durumunun ikinci sık nedeni: sunucuda posta teslimi yapılandırılmamıştır. Logwatch iletiyi sistem etmenine verir, o da hiçbir yere göndermez ve ileti, kimsenin bakmadığı root’un yerel posta kutusuna yerleşir:

sudo cat /var/mail/root | tail -50

İki seçenek vardır. Ya harici bir SMTP aktarıcısı üzerinden teslim yapılandırılır ya da posta hiç kullanılmaz ve rapor bir dosyaya yazılır:

Output = file
Filename = /var/log/logwatch/report.txt

İkincisi daha dürüst olanıdır: kimsenin teslim edemediği bir e-posta izleme yanılsaması yaratır, oysa diskteki bir dosya en azından açılabilir.

Raporda ne okunmalı

Faydalılık sırasına göre azalan biçimde:

  • sshd. Başarılı oturum açmalar — kim ve nereden. Özellikle başarılı olanlar, binlerce başarısız olan değil: başarısızlıklar arka plandır, oysa tanıdık olmayan bir adresten yapılan bir oturum açma açıklanmalıdır;
  • sudo ve pam_unix. Kim ayrıcalık yükseltti ve kim kullanıcı oluşturdu;
  • Disk Space. Dolan bir disk hakkında önceden uyaran tek bir satır;
  • cron. Beliren görevler ve başarısız olan görevler;
  • http. 404 yanıtlarındaki bir sıçrama genellikle yol yoklaması demektir; 500’lerdeki bir sıçrama sizin bir şeyinizin bozulduğu anlamına gelir;
  • postfix, sunucu posta gönderiyorsa: büyüyen bir giden kuyruğu, sunucunun bir istenmeyen posta aktarıcısı olarak kullanılmaya başlandığının tipik işaretidir.

Sınırları

Logwatch geçen günün bir özetidir, bir uyarı değil. Sizi gece uyandırmaz ve tanımı gereği geriden gelir: sabaha karşı günlük bir görevden çalışır ve dünü kapsar. «Şu anda bir şey oluyor» için ne uygundur ne de bunun için tasarlanmıştır.

Gücü başka yerdedir — sıradan bir günün şeklini size gösterir. Bir aylık okumadan sonra normalde kaç başarısız oturum açma aldığınızı, sitenin kaç istek karşıladığını ve ne kadar posta çıktığını bilirsiniz; o rakamlardan biri ikiye katlandığında bu, hiçbir eşik ve hiçbir kural olmadan hemen görünür. Bu yüzden raporu bir posta klasöründe değil, gözünüze çarpacağı yerde tutmaya değer. Bunun bir sayfada nasıl göründüğü aşağıdaki demoda.