Forfatter: Svein tore

Steg 1: Forstå hvor loggene ligger
Loggfiler på Linux finnes som regel i katalogen /var/log. I tillegg bruker mange nyere systemer systemd sin journal (tilgjengelig via journalctl). Sjekk først hva som finnes:

• ls -lah /var/log — viser filer og kataloger.
• journalctl --list-boots — viser journal-oppføringer per oppstart.

Tips: Ikke slett filer direkte fra /var/log uten å vite hva de er — bruk logrotate for rydding eller flytt til et arkiv.

Steg 2: Lese loggfiler sikkert
For å lese store loggfiler bruker du pagere eller «follow»-modus:

• less /var/log/syslog eller less /var/log/messages — paget visning.
• tail -n 200 /var/log/syslog — se siste 200 linjer.
• tail -f /var/log/syslog — følg nye linjer i sanntid.
• journalctl -u <service> — viser logg for en systemd-tjeneste (f.eks. journalctl -u sshd).

Tips: Bruk sudo ved behov. For komprimerte loggfiler har du zless /var/log/syslog.1.gz.

Steg 3: Søke og filtrere i loggene
Søk og filtrering gjør feilsøking effektiv:

• grep -i "error" /var/log/nginx/error.log — finn feilmeldinger.
• journalctl --since "2025-10-01" --until "2025-10-06" --grep "timeout" — tidsfiltrering med journalctl.
• Kombiner tail -f og grep: tail -f /var/log/syslog | grep --color=auto -i "warn".

Tips: Bruk awk/sed for avansert parsing når du trenger felter eller kolonner.

Steg 4: Endre loggnivå og logging for tjenester
Mange tjenester lar deg styre hvilket loggnivå de bruker (f.eks. error, warning, info, debug). Metoden varierer:

• Systemd-tjenester: bruk en override-fil til å sette miljøvariabler eller cmdline-opts:
  • sudo mkdir -p /etc/systemd/system/sshd.service.d
  • Lag /etc/systemd/system/sshd.service.d/override.conf med innhold som: [Service] Environment="SYSTEMD_LOG_LEVEL=info"
  • Kjør sudo systemctl daemon-reload && sudo systemctl restart sshd.
• Applikasjonsspesifikt: rediger f.eks. /etc/nginx/nginx.conf eller /etc/rsyslog.conf og restart tjenesten.

Tips: Les tjenestens dokumentasjon — enkelte apper krever egne flagg i startkommandoen.

Steg 5: Administrere rotasjon og lagring av loggfiler (logrotate)
For å unngå at disk fylles opp, bruk logrotate:

• Sjekk konfigurasjon: /etc/logrotate.conf og /etc/logrotate.d/.
• Eksempel på enkel konfig for /var/log/myapp.log i /etc/logrotate.d/myapp: /var/log/myapp.log { daily rotate 14 compress missingok notifempty create 0640 root adm }
• Test rotasjon: sudo logrotate -d /etc/logrotate.conf (dry-run) eller sudo logrotate -f /etc/logrotate.conf (tving rotasjon).

Tips: Sett compress og rotate etter ønsket retensjon; for større miljøer vurder ekstern logglagring.

Steg 6: Sikre og arkivere logger
Sikre loggdata og implementer gode retensjonsrutiner:

• Aktiver komprimering i logrotate (compress) for lagringsbesparelse.
• Flytt eldre loggfiler til et dedikert arkiv (/var/log/archive/) eller hent dem til et S3-kompatibelt lagringssted.
• Vurder å sende kritiske logger til en ekstern syslog-server eller SIEM med rsyslog/syslog-ng.

Tips: Sørg for at kun root/adm har skrive- og leserettigheter til sensitive loggfiler.

Steg 7: Vanlige operasjoner og feilsøkingskommandoer
Hurtigreferanse for nyttige kommandoer:

• journalctl -xe — se siste feil og utvidet logging.
• journalctl --vacuum-size=500M — tøm journal til å bruke maks 500MB.
• grep -R "Exception" /var/log — søk rekursivt etter unntak.
• logwatch --detail High --service all --range today — daglig loggsammendrag (installer logwatch).

Tips: Når diskplass er kritisk, bruk du -sh /var/log/* for å finne store filer raskt.

---

Oppsummering

Du har nå: identifisert hvor systemlogger ligger, lært kommandoer for å lese og søke i dem, justert loggnivå for tjenester, satt opp rotasjon med logrotate og vurdert sikring og arkivering. Neste steg er å lage en enkel logrotate-policy for dine kritiske applikasjoner og vurdere ekstern logglagring for historikk og sikkerhet.