用Swatch做Linux日志分析
浏览数：33 /
时间：2015年06月20日
Swatch从字面上可以简单理解为Watcher(守护者). 其它的日志分析软件定期地扫描日志文件, 向你报告系统已经发生的问题或者状况. Swatch程序不仅能够做这些, 而且它能够像Syslogd守护程序那样主动的扫描日志文件并对特定的日志消息采取修复行动.
一. 准备
1. 下载和解压缩最新的Swatch软件包.建议从Swatch的官方网站获得可靠的Swatch软件包.
下载网址: http://sourceforge.net/projects/swatch/
1) 创建Swatch软件包存放的目录.
#mkdir -p /usr/local/src/log |
#tar zpxf swatch-3.1.1.tar.gz |
#cd swatch-3.1.1 #make #make test #make install #make realclean |
三. 配置
Swatch程序使用正向表达式(Regular Expressions)来发现感兴趣的目标行. 一旦Swatch发现某一行匹配预设定的模式, 它会立即采取行动, 比如说屏幕打印, 发送电子邮件, 或者采取用户预先设定的行动.
watchfor /[dD]enied│/DEN.*ED/ ech-o bold bell 3 mail exe-c "/etc/call_pager 5551234 08" |
root用户)警报所在行和执行/etc/call_paper程序, 忽略sendmail, fax, unimportant stuff. 在这个例子当中, 搜索字符串sendmail, fax和unimportant stuff将被忽略. 甚至他们符合预定搜索字符串中的一个.
四. 使用
使用Swatch非常的简单, 如通常使用Swatch检查日志, 运行:
swatch --config-file=/home/zhaoke/swatch.conf --examine=/var/log/messages |
使用swatch检查不段增加的日志文件:
swatch --config-file=/home/zhaoke/swatch.conf --tail-file=/var/log/messages |
郑重声明：本站内容如果来自互联网及其他传播媒体，其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享，并不代表本站赞同其观点和对其真实性负责，也不构成任何其他建议。
