🧭说明
Logwatch 是一款实用的日志分析工具，能自动分析和汇总系统日志，生成易于阅读的报告。
📦 安装与基本配置
首先，确保系统已经安装了 Logwatch。对于大多数主流 Linux 发行版，都可以通过包管理器直接安装。
# Debian/Ubuntu 系统sudoaptinstalllogwatch# RHEL/CentOS 系统sudoyuminstalllogwatch安装完成后，基础的配置文件通常位于/usr/share/logwatch/default.conf/logwatch.conf。但更推荐的做法是编辑（或创建）更高优先级的本地配置文件/etc/logwatch/conf/logwatch.conf，在这里的设定会覆盖默认值。
一个基础的配置文件示例可以是这样的：
MailTo=your-email@example.com# 报告接收邮箱Range=yesterday# 分析昨天产生的日志Detail=Med# 报告详细程度 (Low, Med, High)Output=mail# 输出方式 (mail, stdout, file)#Print = No # 如果 Output=mail，通常设置 Print=No💻 主要命令行用法
可以通过命令行参数快速使用 Logwatch，这些参数的优先级高于配置文件中的设置。
快速生成并打印报告
最简单的方式是生成一份报告并直接输出到终端：sudologwatch --range today --detail Med --output stdout分析特定服务
如果只关心某个服务（如sshd）的日志，可以指定服务名：sudologwatch --service sshd --detail High --output stdout所有可用的服务脚本通常位于
/usr/share/logwatch/scripts/services/目录下。通过邮件发送报告
配置好系统的邮件传输代理（如 Sendmail 或 Postfix）后，可以让 Logwatch 将报告发送到指定邮箱：sudologwatch --range today --mailto admin@example.com --output mail生成 HTML 报告
如果需要更美观的报告，可以生成 HTML 格式并保存为文件：sudologwatch --format html --outputfile--filename /path/to/report.html
下表总结了最常用的命令行选项：
| 选项 | 说明 | 示例值 |
|---|---|---|
--range | 要分析的日志时间范围 | yesterday,today,all |
--detail | 报告的详细程度 | Low,Med,High或 数字（如10） |
--service | 指定要分析的服务，可使用多次 | sshd,httpd,all |
--output | 报告的输出目标 | stdout（屏幕）,mail（邮件）,file（文件） |
--mailto | 当输出为邮件时，指定收件人地址 | admin@example.com |
⏰ 设置定时自动运行
Logwatch 的价值在于自动化。安装后，系统通常会自动创建一个每日定时任务脚本（/etc/cron.daily/0logwatch）。可以通过检查或修改这个脚本来控制其自动执行。
如果需要更精确的控制（例如，指定在每天特定时间运行），可以直接编辑 root 用户的 crontab：
sudocrontab-e添加一行，例如以下设置会在每天凌晨2点运行 Logwatch：
0 2 * * * /usr/sbin/logwatch --output mail --mailto admin@example.com⚠️ 重要注意事项
- 邮件发送依赖本地 MTA：使用
--output mail选项需要服务器上已正确配置并运行了诸如 Sendmail 或 Postfix 之类的邮件传输代理（MTA）。 - 报告缺乏精确时间戳：需要注意的是，Logwatch 生成的摘要报告通常不会显示每个事件发生的精确时间点，它更侧重于展示特定时间段内发生的各类事件汇总。如需精确时间，仍需查阅原始日志文件。
- 自定义日志监控：Logwatch 具有良好的扩展性。可以为特定的应用程序日志编写自定义的处理脚本（通常用 Perl），并将其放置在相应的目录（如
/etc/logwatch/scripts/services/）下来实现监控。
