Linux 常见的日志档案详述如下
/var/log/boot.log（自检过程）
/var/log/syslog（它只记录警告资讯，常常是系统出问题的资讯，所以更应该关注该档案）
要让系统生成 syslog 日志档案，
在/etc/syslog.conf 档案中加上：*.warning /var/log/syslog
该日志档案能记录当使用者登入时 login 记录下的错误口令、 Sendmail 的问题、 su 命令执行失败等资讯
/var/log/message 系统启动后的资讯和错误日志，是 Red Hat
/var/log/secure 与安全相关的日志资讯
/var/log/cron（crontab 守护程序 crond 所派生的子程序的动作）
/var/log/maillog（传送到系统或从系统发出的电子邮件的活动）
/var/log/xferlog（该日志档案记录 FTP 会话，可以显示出使用者向 FTP 站群服务器或从站群服务器拷贝了什么档案）
/usr/local/apache/logs/error_log（它是记录 apache 的日志目录)
/var/log/httpd/error_log（它是记录 http 的日志目录)
/var/run/utmp   该日志档案需要使用 lastlog 命令检视（该日志档案记录有关当前登入的每个使用者的资讯）
/var/log/wtmp（该日志档案永久记录每个使用者登入、登出及系统的启动、停机的事件）last 命令就通过访问这个档案获得这些资讯
/var/log/lastlog     lastlog 可以检视
 
Linux 日志分析详细部分
日志对于系统的安全来说非常重要，它记录了系统每天发生的各种各样的事情，使用者可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。日志主要的功能是审计和监测。它还可以实时地监测系统状态，监测和追踪侵入者。
Linux 系统而言，所有的日志档案都在/var/log 下。预设情况下，Linux 的日志档案已经足够强大，但没有记录 FTP 的活动。使用者可以通过修改
/etc/ftpacess 让系统记录 FTP 的一切活动。
Linux 系统一般有 3 个主要的日志子系统：连线时间日志、程序统计日志和错误日志。
连线时间日志
连线时间日志由多个程式执行，把记录写入到/var/og/wtmp 和/var/run/utmp 。 login 等程式更新 wtmp 和 utmp 档案，使系统管理员能够跟踪谁在何时登入到系统。
程序统计日志
程序统计日志由系统核心执行。当一个程序终止时，为每个程序往程序统计档案（pacct 或 acct）中写一个记录。程序统计的目的是为系统中的基本服务提供命令使用统计。
错误日志
错误日志由 sysogd(8) 执行。各种系统守护程序、使用者程式和核心通过 sysog(3) 向档案/var/log/messages 报告值得注意的事件。另外还有许多 UNIX 类程式建立日志，像 HTTP 和 FTP 这样提供互联网服务的站群服务器也有详细的日志。
RedHat Linux 常见的日志档案和常用命令
成功地管理任何系统的关键之一，是要知道系统中正在发生什么事。 Linux 中提供了异常日志，并且日志的细节是可配置的。 Linux 日志都以明文形式储存，所以使用者不需要特殊的工具就可以搜寻和阅读它们。还可以编写指令码，来扫描这些日志，并基于它们的内容去自动执行某些功能。
Linux 日志储存在 /var/log
目录中。这里有几个由系统维护的日志档案，但其他服务和程式也可能会把它们的日志放在这里。大多数日志只有 root 账户才可以读，不过修改档案的访问许可权就可以让其他人可读。
RedHat Linux 常用的日志档案
RedHat Linux 常见的日志档案详述如下
/var/log/boot.log
该档案记录了系统在引导过程中发生的事件，就是 Linux 系统开机自检过程显示的资讯。
/var/log/cron
该日志档案记录 crontab 守护程序 crond 所派生的子程序的动作，前面加上使用者、登入时间和 PID，以及派生出的程序的动作。 CMD 的一个动作是 cron 派生出一个排程程序的常见情况。 REPLACE（替换）动作记录使用者对它的 cron 档案的更新，该档案列出了要周期性执行的任务排程。
RELOAD 动作在 REPLACE 动作后不久发生，这意味著 cron 注意到一个使用者的 cron 档案被更新而 cron 需要把它重新装入内存。该档案可能会查到一些反常的情况。
/var/log/maillog
该日志档案记录了每一个传送到系统或从系统发出的电子邮件的活动。它可以用来检视使用者使用哪个系统传送工具或把资料传送到哪个系统。
/var/log/messages
该日志档案是许多程序日志档案的汇总，从该档案可以看出任何入侵企图或成功的入侵。
该档案的格式是每一行包含日期、 WordPress 主机名、程式名，后面是包含 PID 或核心标识的方括号、一个冒号和一个空格，最后是讯息。该档案有一个不足，就是被记录的入侵企图和成功的入侵事件，被淹没在大量的正常程序的记录中。但该档案可以由/etc/syslog 档案进行定制。由/etc/syslog.conf 配置档案决定系统如何写入/var/log/messages 。
 
/var/log/lastlog
该日志档案记录最近成功登入的事件和最后一次不成功的登入事件，由 login 生成。在每次使用者登入时被查询，该档案是二进位制档案，需要使用
lastlog 命令检视，根据 UID 排序显示登入名、埠号和上次登入时间。如果某使用者从来没有登入过，就显示为”**Never logged
in**” 。该命令只能以 root 许可权执行。简单地输入 lastlog 命令后就会看到
系统账户诸如 bin 、 daemon 、 adm 、 uucp 、 mail 等决不应该登入，如果发现这些账户已经登入，就说明系统可能已经被入侵了。若发现记录的时间不是使用者上次登入的时间，则说明该使用者的账户已经泄密了。
/var/log/wtmp
该日志档案永久记录每个使用者登入、登出及系统的启动、停机的事件。因此随著系统正常执行时间的增加，该档案的大小也会越来越大，增加的速度取决于系统使用者登入的次数。该日志档案可以用来检视使用者的登入记录，last 命令就通过访问这个档案获得这些资讯，并以反序从后向前显示使用者的登入记录，last 也能根据使用者、终端 tty 或时间显示相应的记录。
命令 last 有两个可选引数：
last -u 使用者名称 显示使用者上次登入的情况。
last -t 天数 显示指定天数之前的使用者登入情况。
/var/run/utmp
该日志档案记录有关当前登入的每个使用者的资讯。因此这个档案会随著使用者登入和登出系统而不断变化，它只保留当时联机的使用者记录，不会为使用者保留永久的记录。系统中需要查询当前使用者状态的程式，如 who 、 w 、 users 、 finger 等就需要访问这个档案。该日志档案并不能包括所有精确的资讯，因为某些突发错误会终止使用者登入会话，而系统没有及时更新 utmp 记录，因此该日志档案的记录不是百分之百值得信赖的。
以上提及的 3 个档案（/var/log/wtmp 、/var/run/utmp 、/var/log/lastlog）是日志子系统的关键档案，都记录了使用者登入的情况。这些档案的所有记录都包含了时间戳。这些档案是按二进位制储存的，故不能用 less 、 cat 之类的命令直接检视这些档案，而是需要使用相关命令通过这些档案而检视。其中，utmp 和 wtmp 档案的资料结构是一样的，而 lastlog 档案则使用另外的资料结构，关于它们的具体的资料结构可以使用 man 命令查询。
每次有一个使用者登入时，login 程式在档案 lastlog 中检视使用者的 UID 。如果存在，则把使用者上次登入、登出时间和 WordPress 主机名写到标准输出中，然后 login 程式在 lastlog 中记录新的登入时间，开启 utmp 档案并插入使用者的 utmp 记录。该记录一直用到使用者登入退出时删除。 utmp 档案被各种命令使用，包括 who 、 w 、 users 和 finger 。
下一步，login 程式开启档案 wtmp 附加使用者的 utmp 记录。当使用者登入退出时，具有更新时间戳的同一 utmp 记录附加到档案中。 wtmp 档案被程式 last 使用。
/var/log/xferlog
该日志档案记录 FTP 会话，可以显示出使用者向 FTP 站群服务器或从站群服务器拷贝了什么档案。该档案会显示使用者拷贝到站群服务器上的用来入侵站群服务器的恶意程式，以及该使用者拷贝了哪些档案供他使用。
该档案的格式为：第一个域是日期和时间，第二个域是下载档案所花费的秒数、远端系统名称、档案大小、本地路径名、传输型别（a：ASCII，b：二进位制）、与压缩相关的标志或 tar，或”_”（如果没有压缩的话）、传输方向（相对于站群服务器而言：i 代表进，o 代表出）、访问模式（a：匿名，g：输入口令，r：真实使用者）、使用者名称、服务名（通常是 ftp）、认证方法（l：RFC931，或 0），认证使用者的 ID 或”*” 。