1、查找日志文件简单方法
一般来说，系统日志文件几乎都保存在/var/子目录（该路径由syslog.conf文件定义）。如果想让所有的应用程序都把日志文 件集中存放到/var/子目录下，需要依次对每一个应用程序的配置文件进行编辑。把日志集中到/var/子目录下是个很好的主意。首先，当需要查看它们、 修改它们的权限或者对它们进行备份的时候，只要到一个地方就可以找到所有的日志文件。
其次，/var/子目录通常是在一个独立于根目录（/）的文件系统里，这有助于防止日志文件迅速变大并占满可用空间，避免操作系统和应 用程序受到影响。可以利用find命令把你不知道的日志文件查找出来具体做法是：先切换到根目录下，然后以根用户（root）身份执行下面这条命令把最近 被修改过的文件全部找出来：
find . -type f -mtime -5 –print | grep -v proc | grep -v lock
2、以手动方式搜索日志文件
grep是Unix系统上功能最强大的shell命令之一。利用grep命令在日志文件里搜索各种可疑线索是这个文本文件搜索命令的绝佳用途。grep命令的用法很简单——在命令行上输入：
grep "failed" /var/log/messages
上面这条grep命令将把/var/log/messages文件里包含单词“failed”的文本行全部找出来。在默认情况 下，grep命令是大小写敏感的，你可能需要根据具体情况使用grep命令和它的“-i”选项来进行对大小写不敏感的搜索。搜索日志文件的挑战之一是你必 须先知道自己想找什么东西，然后才可以把可能存在的这个东西找出来。有几种办法可以帮助解决这一问题。
如果你知道自己想找的事件或活动——比如，用户试图使用su命令切换为根用户——可以先自己进行一次这样的活动，然后去日志文件里看看它是什么样子。比如，在SUSE Linux系统上，执行失败的su命令将在日志文件里留下这样一条记录：
Apr 1 11:15:54 chim su: FAILED SU (to root) rreck on /dev/pts/1
于是，如果想把所有这类活动都查出来，应该使用下面这样的命令：
grep "FAILED SU" /var/log/messages
上面示例里的活动是黑客攻击的一种标志。如果grep命令只在日志文件里零零散散地找到了几个这样的失败事件，那很可能是有人忘记了口 令字或者是打字时出现了错误。反之，如果grep命令在日志文件里找到几十个这样的失败事件，很可能是有人在试图闯入你的系统，应该立刻采取措施在网络级 拒绝他们的访问。
3.搭建日志服务器
（1） 修改日志配置文件，将日志备份到服务器上。（使用syslog 或者rsyslog）
[root@wwwserver /]# vi /etc/syslog.conf
添加下面的代码到syslog.conf中:*.* @logserver
（2）或者安装数据库，进行日志数据库管理。
