[Linux] 시스템 로그 수집 및 확인하기 (with. rsyslog)

서버의 비정상적인 종료와 같은 장애가 발생할 때 원인을 파악하고 조치하기 위해서는 가장 먼저 시스템 로그를 확인해야 한다.

 

https://betterstack.com/community/comparisons/logstash-alternatives/

 

 

리눅스에서 시스템 로그를 확인하기 위해서는 표준 프로토콜인 syslog를 사용할 수 있다. 하지만 syslog의 표준을 구현하였고, 훨씬 빠르고 유연한 rsyslog (roket-fase syslog)를 사용하는 것이 더 유리하다. 

 

💡 rsyslog란?

정의:

• rsyslog는 시스템 로그를 수집, 저장, 전달하는 데 사용되는 데몬이다.

기능 요약:

• 다양한 입력(커널, 시스템, 애플리케이션)으로부터 로그 수집
• 다양한 포맷으로 로그 저장
• 원격 로그 서버로 로그 전송 가능 (중앙 집중식 로깅)

 

⁉️ 필요 이유 / 사용 시점

문제 해결:

• 시스템 오류, 장애, 해킹 등 발생 시 원인 분석
  (서비스 다운 타이밍과 관련 이벤트를 추적하여 정확한 문제 발생 시점 파악 가능)

보안 감사:

• 인증 로그, 권한 상승 시도 추적
  (sudo 사용 기록, 접근 제어 실패 이력 등을 저장하여 내부 사용자 행동 분석 가능)

운영 관리:

• cron 작업, 백업, 메일 서비스 등 상태 확인
  (정기 작업 결과나 실패 로그를 수집해 운영 자동화 점검 및 오류 빠른 대응 가능)

원격 로그 수집 환경:

• 여러 서버의 로그를 한 곳에서 관리할 때
  (중앙에서 실시간 로그를 분석하여 침해 탐지, 이상 징후 조기 경보 시스템 구축 가능)

 

👨🏻‍💻 설치 및 실행 방법

▷ CentOS 6 이하

sudo service rsyslog start sudo service rsyslog status

 

▷ CentOS 7 / Ubuntu

sudo systemctl start rsyslog sudo systemctl status rsyslog sudo systemctl enable rsyslog

 

▷ 설치 여부 확인

# (RHEL 계열)
rpm -qa | grep rsyslog 

# (Debian 계열)
dpkg -l | grep rsyslog

 

 

📚 주요 로그 파일 설명

로그 파일 경로	설명	예시
/var/log/messages	시스템 및 서비스 전반 메시지	서비스 오류
/var/log/secure	인증 및 권한 상승 관련 로그	SSH 로그인, sudo 사용
/var/log/cron	cron 작업 실행 기록	주기적 백업 스크립트 실행
/var/log/maillog	메일 서비스 관련 로그	postfix, sendmail 관련
/var/log/boot.log	부팅 시 메시지 기록	부팅 실패 원인 분석
/var/log/dmesg	커널 메시지, 하드웨어 감지 정보	디스크 인식 실패 등

 

▷ 로그 확인 방법

# 실시간 확인
tail -f /var/log/messages 

# 필터링 예시 
cat /var/log/secure | grep sshd