日记关于平安来说，十分重要，他记录了系统每天发作的各类各样的工作，你能够通过他来查抄错误发作的原因，或者遭到攻击时攻击者留下的陈迹。日记次要的功用有：审计和监测。他还能够实时的监测系统形态，监测和逃踪侵入者等等。
在Linux系统中，有三个次要的日记子系统：
毗连时间日记--由多个法式施行，把纪录写入到/var/log/wtmp和/var/run/utmp，login等法式更新wtmp和utmp文件，使系统办理员可以跟踪谁在何时登录到系统。
历程统计--由系统内核施行。当一个历程末行时，为每个历程往历程统计文件（pacct或acct）中写一个纪录。历程统计的目标是为系统中的根本办事供给号令利用统计。
错误日记--由syslogd施行。各类系统守护历程、用户法式和内核通过syslog向文件/var/log/messages陈述值得留意的事务。
别的有许多UNIX法式创建日记。像如许供给收集办事的办事器也连结详细的日记。
常用的日记文件如下：
access-log
纪录的传输
acct/pacct
纪录用户号令
aculog
纪录MODEM的活动
btmp
纪录失败的纪录
lastlog
纪录比来几次胜利登录的事务和最初一次不胜利的登录
messages
从syslog中记录信息（有的链接到syslog文件）
sudolog
纪录利用sudo发出的号令
sulog
纪录利用su号令的利用
syslog
从syslog中记录信息（凡是链接到messages文件）
utmp
纪录当前登录的每个用户
wtmp
一个用户每次登录进入和退出时间的永久纪录
xferlog
纪录FTP会话
utmp、wtmp和lastlog日记文件是大都重用UNIX日记子系统的关键--连结用户登录进入和退出的纪录。
有关当前登录用户的信息记录在文件 utmp中；
登录进入和退出纪录在文件wtmp中；
最初一次登录文件能够用lastlog号令察看。
数据交换、关机和重起也记录在wtmp文件中。
所有的纪录都包罗时间戳。那些文件（lastlog凡是不大）在具有大量用户的系统中增长非常敏捷。
例如wtmp文件能够无限增长，除非按期截取。许多系统以一天或者一周为单元把wtmp设置装备摆设成轮回利用。它凡是由cron运行的脚原来修改。那些脚本从头定名并轮回利用wtmp文件。凡是，wtmp在第一天完毕后定名为wtmp。1；第二天后wtmp。1变成wtmp。
2等等，曲到wtmp。7。
每次有一个用户登录时，login法式在文件lastlog中察看用户的UID。若是找到了，则把用户前次登录、退出时间和主机名写到尺度输出中，然后 login法式在lastlog中纪录新的登录时间。在新的lastlog纪录写入后，utmp文件翻开并插入用户的utmp纪录。
该纪录不断用到用户登录退出时删除。utmp文件被各类号令文件利用，包罗who、w、users和finger。
下一步，login法式翻开文件wtmp附加用户的utmp纪录。当用户登录退出时，具有更新时间戳的统一utmp纪录附加到文件中。wtmp文件被法式last和ac利用。
详细号令
wtmp和utmp文件都是二进造文件，他们不克不及被诸如tail号令剪贴或合并（利用cat号令）。用户需要利用who、w、users、last和ac来利用那两个文件包罗的信息。