Linux Sunucuda Log Analizi Nasıl Yapılır?

Log dosyaları sunucunun hikayesini anlatır. Bir saldırı mı oldu, servis mi çöktü, disk mi doldu — cevap her zaman loglardadır. Bu rehberde Linux sunucuda log dosyalarının nerede olduğunu, nasıl okunduğunu ve etkili analiz yöntemlerini öğreneceksin.

Önemli Log Dosyaları ve Konumları

Adım 1: Log Dosyalarını Okuma

# Son 50 satırı oku
tail -n 50 /var/log/syslog

# Canlı olarak izle (yeni satırlar anında görünür)
tail -f /var/log/syslog

# Birden fazla logu aynı anda izle
tail -f /var/log/syslog /var/log/auth.log

# Dosyanın başından oku
head -n 100 /var/log/syslog

# Sayfalı okuma
less /var/log/syslog

Adım 2: grep ile Log Filtreleme

# SSH başarısız girişleri bul
grep "Failed password" /var/log/auth.log

# Belirli IP'nin aktivitesi
grep "203.0.113.50" /var/log/auth.log

# Bugünkü hataları bul
grep "$(date +%b\ %d)" /var/log/syslog | grep -i error

# Sayısını gör
grep -c "Failed password" /var/log/auth.log

# Büyük/küçük harf duyarsız arama
grep -i "error\|critical\|fatal" /var/log/syslog

Adım 3: Saldırı Tespiti

# En çok başarısız giriş deneyen IP'ler
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head -20

# Brute force saldırısı tespiti
grep "authentication failure" /var/log/auth.log | tail -20

# Root'a giriş denemeleri
grep "user root" /var/log/auth.log | grep "Failed"

# Başarılı girişler
grep "Accepted" /var/log/auth.log | tail -20

Adım 4: journalctl ile SystemD Logları

# Tüm loglar
sudo journalctl

# Son 1 saatin logları
sudo journalctl --since "1 hour ago"

# Belirli servisin logları
sudo journalctl -u nginx
sudo journalctl -u mysql
sudo journalctl -u sshd

# Hata seviyesindeki loglar
sudo journalctl -p err

# Boot logları
sudo journalctl -b

# Gerçek zamanlı izleme
sudo journalctl -f

# Disk kullanımını gör
sudo journalctl --disk-usage

Adım 5: LogRotate ile Log Yönetimi

# Mevcut logrotate yapılandırması
cat /etc/logrotate.conf

# Özel yapılandırma oluştur
sudo nano /etc/logrotate.d/custom-app

/var/log/myapp/*.log {
    daily
    missingok
    rotate 14
    compress
    delaycompress
    notifempty
    create 0640 www-data www-data
    sharedscripts
    postrotate
        systemctl reload nginx > /dev/null 2>&1 || true
    endscript
}

# LogRotate'i test et
sudo logrotate -d /etc/logrotate.d/custom-app

# Manuel çalıştır
sudo logrotate -f /etc/logrotate.conf

Gelişmiş: awk ile Log Analizi

# Nginx access log - En çok istek yapan IP'ler
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -10

# HTTP durum kodlarının dağılımı
awk '{print $9}' /var/log/nginx/access.log | sort | uniq -c | sort -rn

# En çok istenen sayfalar
awk '{print $7}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -10

# Saatlik istek dağılımı
awk '{print $4}' /var/log/nginx/access.log | cut -d: -f2 | sort | uniq -c

Sonuç

Log analizi sunucu yönetiminin olmazsa olmazıdır. grep ile hızlı filtreleme, journalctl ile systemd log izleme ve awk ile ileri analiz yaparak sunucundaki sorunları erkenden tespit edebilirsin. LogRotate ile logların diski doldurmasını engellemeyi de unutma.

Sık Sorulan Sorular (FAQ)