关于系统日志的主要配置文件有两个：
/etc/sysconfig/syslog这里定义syslog服务启动时可加入的参数.
/etc/syslog.conf这个是syslog服务的主要配置文件,根据定义的规则导向日志信息.
日志存放在: /var/log
内核启动信息：/var/log/dmesg 查看：dmesg | less
默认系统错误信息文件： /var/log/messages 该文件格式：时间 主机 产生程序 信息
邮件系统相关日志: /var/log/maillog
安全,认证及xinetd日志：/var/log/secure
内核审计信息：var/log/audit/adit.log ,使用aureport ,ausearch查看工具查看
日志守护进程：syslogd 系统 klogd 内核
该进程其实就是一个运行的脚本：/etc/init.d/syslog
# service syslog restart|start|stop|status 该脚本可以用service调用
/etc/syslog.conf 定义日志信息来源与日志存放位置 内容格式：facility.priority /var/log/Filename
facility.prioity为选择条件,本身分为两个字段,之间用一个小数点分隔.前一字段是一项服务,后一字段是一个优先级.选择条件其实是对消息类型的一种分类,这种分类便于人们把不同类型的消息发送到不同的地方.
1、facility
facility定义日志消息的范围,其可使用的key有：
auth －由 pam_pwdb 报告的认证活动.
authpriv －包括特权信息如用户名在内的认证活动
cron －计划任务信息
daemon －后台进程
kern －内核信息
lpr －打印信息.
mail －邮件
mark － syslog内部功能用于生成时间戳
news －新闻组信息
syslog －系统日志
user －用户进程
uucp － uucp 程序
local0-local7 －本地用户
* 通配符代表除了 mark 以外的所有功能.除mark为内部使用外,还有security为一个旧的key定义,等同于auth,已经不再建议使用.
2、level级别
level定义消息的紧急程度.按严重程度由高到低顺序排列为：emerg －该系统不可用,等同panic
alert －需要立即被修改的条件
crit －阻止某些工具或子系统功能实现的错误条件
err －阻止工具或某些子系统部分功能实现的错误条件,等同error
warning －预警信息,等同warn
notice －具有重要性的普通条件
info －提供信息的消息
debug －不包含函数条件或问题的其他信息
none －没有重要级,通常用于排错
* 所有级别,除了none.其中,panic、error、warn均为旧的标识符,不再建议使用.
在定义level级别的时候,需要注意两点：1）优先级是由应用程序在编程的时候已经决定的,除非修改源码再编译,否则不能改变消息的优先级；
优先级表示方法：facility.info 包括此级别及高级别的日志信息 facility.=info 级别等于info的 facility.!=info级别不等的 facility.!info 级别小于info的
uucp,new.crit uucp和news都使用crit级别 uucp.info;news.crit ：uucp 使用info而news使用crit级别
5、举例
例如：*.info;mail.none;news.none;authpriv.none;cron.none /var/log/messages
#把除邮件、新闻组、授权信息、计划任务等外的所有通知性消息都写入messages文件中.
mail,news.=info /var/adm/info
#把邮件、新闻组中仅通知性消息写入info文件,其他信息不写入.
mail.*;mail.!=info /var/adm/mail
#把邮件的除通知性消息外都写入mail文件中.
mail.=info /dev/tty12
#仅把邮件的通知性消息发送到tty12终端设备
*.alert root , joey
#如果root和joey用户已经登陆到系统,则把所有紧急信息通知他们
*.* @finlandia
#把所有信息都导向到finlandia主机（通过/etc/hosts或dns解析其IP地址）
注意的是：每条消息均会经过所有规则的,并不是唯一匹配的.
也就是说,假设mail.=info信息通 |
