Logs serveur Linux : guide complet pour surveiller le démarrage et les connexions

Surveiller et comprendre les logs serveur Linux est une compétence essentielle pour tout administrateur système. Que ce soit pour diagnostiquer un problème au démarrage ou auditer les connexions SSH, les logs de démarrage Linux et les logs de connexion Linux offrent une mine d’informations précieuses. Grâce à des outils comme journalctl ou en consultant des fichiers tels que /var/log/auth.log, vous pouvez facilement repérer les tentatives de connexion échouées, détecter des comportements anormaux ou encore assurer la sécurité de votre serveur Linux.

Dans ce tutoriel, nous allons voir comment analyser les logs de démarrage et de connexion, quels fichiers et commandes utiliser, et quelles bonnes pratiques adopter pour l’analyse des logs Linux. Que vous soyez débutant ou administrateur expérimenté, cet article vous donnera toutes les clés pour maîtriser l’analyse des logs sur un serveur Linux.

Comprendre les logs serveur Linux et leur rôle essentiel

Importance des logs pour la sécurité et le diagnostic

Les logs système sous Linux jouent un rôle essentiel dans la gestion, le diagnostic et la sécurité d’un serveur. Ils permettent de retracer les événements du système, d’identifier des erreurs au démarrage, de surveiller l’activité des utilisateurs et de détecter d’éventuelles tentatives de connexion non autorisées. Une bonne maîtrise de l’analyse des logs permet de réagir rapidement face à un dysfonctionnement ou une menace de sécurité. En consultant régulièrement les logs de démarrage Linux et les logs de connexion Linux, un administrateur peut anticiper les problèmes et renforcer la sécurité du serveur Linux.

Emplacement des fichiers de logs principaux

Sous Linux, la majorité des fichiers de logs sont stockés dans le répertoire /var/log. Voici quelques-uns des fichiers les plus utilisés pour l’analyse :

Pour une vision consolidée des événements, l’outil journalctl, utilisé avec systemd, permet de consulter l’ensemble des logs système de manière centralisée et filtrée, notamment ceux liés au démarrage et aux connexions utilisateur.

Analyser les logs de démarrage

Utilisation de journalctl pour les logs de démarrage

Sous les distributions Linux utilisant systemd, la commande journalctl est l’outil principal pour consulter les logs de démarrage Linux. Elle permet d’extraire toutes les informations liées à la séquence de démarrage, depuis le moment où le noyau est chargé jusqu’au lancement complet du système.

Pour visualiser les logs du dernier démarrage, on peut utiliser la commande :

journalctl -b

Vous pouvez également filtrer par niveau de gravité (erreur, avertissement, etc.) ou par unité systemd spécifique. Cela permet de diagnostiquer rapidement les lenteurs de démarrage ou les services défaillants sur votre serveur Linux.

Commande Last et fichier wtmp

Sous Linux, la commande last permet de lire le contenu des fichiers /var/log/wtmp et /var/log/btmp.

Pour connaître les dates et heures ou la machine s’est arrêtée il suffit de taper la commande :

#last –x shutdown --time-format iso

Les différents shutdown, sont classés du plus récent au plus vieux. Le paramètre –time-format iso permet d’ajouter des informations comme l’année par exemple et à un format de date plus lisible, du moins pour ma part.

Pour connaître les dates et heures ou la machine a rebooté, il suffit de taper la commande :

#last –x reboot --time-format iso

Nous voyons ici que le denier reboot date du 1 mai 2025 à 19h25.

Il est impossible de lire directement ces fichiers avec un éditeur de texte type vi ou vim.

Voici un exemple avec le fichier btmp :

Ah oui, pas facile pour récupérer les informations.

Pour lire le fichier de façon plus agréable, vous devez utiliser la commande suivante (vous pouvez utiliser la même commande pour le fichier wtmp):

#last –f /var/log/btmp

Comme vous pouvez le constater ici l’ip 185.227.152.113 effectue de la brute force pour récupérer un accès sur ma machine.

Interprétation des messages de démarrage

Les messages de démarrage fournissent des indications précieuses sur le bon fonctionnement des différents composants du système. Ils incluent notamment :

• Le chargement du noyau et des modules,
• La détection du matériel,
• Le montage des systèmes de fichiers,
• Le démarrage des services systemd.

Il est essentiel d’identifier les messages d’erreur (souvent signalés par Failed ou Error) qui peuvent ralentir ou bloquer le démarrage du serveur. De même, les messages comme Job running, Timeout, ou Dependency failed indiquent des problèmes de dépendances ou de services mal configurés.
Une analyse régulière des logs de démarrage permet de s’assurer que le système reste stable et performant, et d’intervenir rapidement en cas d’anomalie.

Sécuriser votre système grâce à l’analyse des logs serveur Linux

Analyse de /var/log/auth.log pour les connexions SSH

L’un des fichiers les plus importants pour suivre l’activité des connexions SSH sur un serveur Linux est le fichier /var/log/auth.log (ou /var/log/secure sur CentOS/RHEL). Il enregistre toutes les tentatives d’authentification, qu’elles soient réussies ou échouées, ainsi que les élévations de privilèges via sudo.

Pour examiner ces logs de connexion Linux, vous pouvez utiliser une commande comme :

grep sshd /var/log/auth.log

Cela vous permettra d’identifier quels utilisateurs se sont connectés, à quel moment, depuis quelle adresse IP, et s’ils ont été authentifiés avec succès. Cette analyse est essentielle pour auditer les connexions SSH et maintenir la traçabilité des accès sur votre serveur.

Détection des tentatives de connexion échouées

Les tentatives de connexion échouées sont des indicateurs clés d’une éventuelle tentative d’intrusion. Elles apparaissent souvent dans les logs sous la forme :

Failed password for invalid user ...

Pour extraire rapidement ces événements, vous pouvez utiliser :

grep "Failed password" /var/log/auth.log

ou, pour une vue plus synthétique :

awk '/Failed password/ {print $(NF-3)}' /var/log/auth.log | sort | uniq -c | sort -nr

Mettre en place la rotation de fichier log

Il vous est possible de définir la durée de conservation de ces logs. Pour ce faire vous devez éditer le fichier /etc/logrotate.conf.

Ce qui nous intéresse ici se sont les lignes surlignées en jaune. Voici quelques explications de ces lignes :

D’autres paramètres existent comme :

Pour connaître les autres options vous pouvez consulter le man à cette adresse : man logrotate.

Afin d’avoir un peu d’historique, j’ai configuré la rotation de cette manière  :

Dans l’exemple ci-dessus, la rotation s’effectue au bout d’un an à moins que la taille du fichier atteigne les 15 Mo. Par défaut (les cinq premières lignes), la durée de rotation est d’une semaine et la conservation sur 1 mois (rotate 4).

Une fois la configuration de votre logrotate terminé, vous pouvez forcer sont exécution de cette manière :

#logrotate -f /etc/logrotate.conf

ou pour débugger :

#logrotate -d /etc/logrotate.conf

Si vous souhaitez découvrir d’autres commandes ou astuces pratiques sous Linux, vous pouvez consulter ce tutoriel : Optimiser et dépanner un serveur Linux.

grep "Failed password" /var/log/auth.log