日志文件是我們發現系統問題的重要參考信息. 大部分的系統服務出現問題時都會給syslogd(系統日志守護進程)發送消息. 然後用戶發覺並根據錯誤提示信息采取行動. 然而對於1000行以上的日志文件, 我們必須使用日志檢查工具節省時間和避免漏掉重要信息.
Swatch從字面上可以簡單理解為Watcher(守護者). 其它的日志分析軟件定期地掃描日志文件, 向你報告系統已經發生的問題或者狀況. Swatch程序不僅能夠做這些, 而且它能夠像Syslogd守護程序那樣主動的掃描日志文件並對特定的日志消息采取修復行動.
一. 准備
1. 下載和解壓縮最新的Swatch軟件包.建議從Swatch的官方網站獲得可靠的Swatch軟件包.
下載網址: http://sourceforge.net/projects/swatch/
1) 創建Swatch軟件包存放的目錄.
#mkdir -p /usr/local/src/log
2) 解壓縮源代碼包, 在log目錄下會生成一個新的目錄apache_1.3.33
#tar zpxf swatch-3.1.1.tar.gz
二. 安裝
#cd swatch-3.1.1
#make
#make test
#make install
#make realclean
Swatch程序安裝成功後, Perl模塊將會用於Swatch程序的運行.
三. 配置
Swatch程序使用正向表達式(Regular EXPressions)來發現感興趣的目標行. 一旦Swatch發現某一行匹配預設定的模式, 它會立即采取行動, 比如說屏幕打印, 發送電子郵件, 或者采取用戶預先設定的行動.
更多內容請看Linux安全 Linux安全應用寶典 Linux防火牆專題，或
