유닉스 로그 파일

핵심 정리

유닉스 로그 파일은 시스템과 사용자의 활동을 시간 순서대로 남겨, 사고가 났을 때 누가 언제 무엇을 했는지 되짚게 하는 기록이다. 운영 체제나 소프트웨어가 실행 중에 발생시킨 이벤트를 파일에 적는 행위를 로깅이라 한다. 유닉스의 범용 로깅 메커니즘은 syslog이며, 이벤트를 수집해 로그로 저장하고 네트워크를 통해 다른 시스템에 전송할 수 있다.

로그 기록의 기본은 로그인 기록이다. wtmp는 사용자의 로그인·로그아웃 정보와 재부팅 기록을 저장하는 로그 파일이다. wtmp는 로그인·로그아웃 이력반면 btmp는 실패한 로그인 정보를 기록하며 lastb 명령으로 확인한다. 성공한 접속의 이력과 실패한 접속의 기록이 서로 다른 파일에 남는다는 점이 출제의 중심이다.

접속 상태는 이력과 구분해야 한다. utmp는 현재 로그인한 사용자 이름과 로그인한 디바이스 등을 저장한다. 같은 로그인 정보라도 현재 접속 상태를 담는 파일과 지나간 이력을 쌓는 파일은 다르다.

파일 전송과 프로그램 실행은 각각 별도의 파일에 기록된다. FTP 접속과 파일 전송 작업은 /var/log/xferlog에 기록된다. 사용자가 수행한 프로그램 정보는 pacct는 바이너리 형식pacct 파일에 기록된다.

시스템 메시지와 인증 과정도 별도로 기록된다. /var/log/secure 파일은 텔넷·FTP 등 접속 인증 과정의 로그를 기록한다. 로그 파일은 종류마다 기록 형식과 담당 범위가 달라 한 파일이 모든 기록을 대신하지 못한다. 따라서 문제는 대개 어느 파일이 어떤 내용을 담는지 묻는다.

자세히

접속 상태와 접속 이력

성공한 로그인과 실패한 로그인은 각각 wtmp와 btmp에 나뉘어 기록된다. 실패 기록을 찾을 때는 wtmp가 아니라 btmp를 봐야 하며, 로그인 이력을 찾을 때는 btmp가 아니라 wtmp를 봐야 한다. utmp는 이력을 누적하기보다 현재 시점의 접속 상태를 보여 주는 파일이다. 세 파일은 한 묶음으로 외우기보다 상태(utmp), 성공 이력(wtmp), 실패 기록(btmp)의 세 축으로 나눠 기억해야 선지를 가를 수 있다.

접속 확인 명령

파일마다 전용 확인 명령이 짝을 이룬다. 사용자의 로그인·로그아웃 시간과 터미널 정보를 출력하는 명령은 wtmp를 읽는 last다. 실패 기록은 btmp를 읽는 lastb로 확인한다. 사용자별 마지막 접속만 따로 보려면 lastlog 명령을 쓴다. 이 명령은 사용자별 마지막 로그인 정보를 기록한 lastlog 파일을 확인하는 데 쓰인다. 명령과 파일 이름이 비슷해 헷갈리기 쉬우므로, 명령이 읽는 대상도 함께 떠올려야 한다.

로그인 감사 파일

로그인 기록을 확인하기 위한 별도의 파일로 /var/adm/loginlog가 있다. 이 파일은 로그인 기록을 점검하는 데 쓰인다. lastlog 파일은 사용자 이름, 포트, 마지막 로그인 시간 등을 저장하는 로그 파일이다. 두 파일 모두 로그인과 관련되지만, loginlog는 로그인 기록을 확인하는 파일이고 lastlog는 사용자별 마지막 접속 정보를 저장하는 파일이라는 점에서 역할이 다르다.