로그 파일의 구조와 종류

# Apache Combined Log Format
192.168.1.10 - - [27/Apr/2026:10:23:11 +0000] "GET /admin HTTP/1.1" 200 1234 "-" "Mozilla/5.0..."
                  ↑ IP                 ↑ 시간                ↑ 메서드+경로  ↑ 상태  ↑ 크기  ↑ Referer  ↑ User-Agent

# Nginx 기본 형식 (Apache와 거의 동일)
# JSON 형식도 가능 — 권장
{"time":"2026-04-27T10:23:11Z","ip":"192.168.1.10","method":"GET","path":"/admin","status":200}

# /var/log/auth.log (Ubuntu/Debian)
Apr 27 10:23:11 server sshd[1234]: Failed password for invalid user admin from 198.51.100.99 port 22

# /var/log/syslog
Apr 27 10:24:01 server kernel: [3245.123] iptables: DROP IN=eth0 SRC=198.51.100.99

# Python logging 표준 형식
import logging

logging.basicConfig(
    format='%(asctime)s [%(levelname)s] %(name)s: %(message)s',
    level=logging.INFO,
)

# 출력 예
"""
2026-04-27 10:23:11 [INFO] api.auth: 로그인 성공 user=alice
2026-04-27 10:23:15 [WARNING] api.auth: 로그인 실패 user=admin ip=10.0.0.5
2026-04-27 10:23:20 [ERROR] api.payment: 결제 처리 오류 order_id=abc-123
"""

SECURITY_EVENTS = {
    'P1_CRITICAL': [
        '관리자 계정 로그인 (정상 vs 비정상)',
        '대량 데이터 다운로드 (DB dump)',
        '시스템 파일 변경 (chattr, /etc/passwd)',
        '방화벽 규칙 변경',
    ],
    'P2_HIGH': [
        '반복 로그인 실패 (브루트포스)',
        '권한 우회 시도 (../, 디렉토리 탐색)',
        'SQL Injection 페이로드 탐지',
        '비정상 시간(03:00 AM) 로그인',
    ],
    'P3_MEDIUM': [
        '404 폭주 (디렉토리 브루트포싱)',
        '비정상 User-Agent (sqlmap, nikto)',
        '동일 IP 다수 사용자 시도',
    ],
    'P4_LOW': [
        '단일 401 (정상 오타)',
        '느린 요청 (서버 과부하 vs DoS 시도)',
    ],
}

LOG_LOCATIONS = {
    'web': {
        'apache_access': '/var/log/apache2/access.log',
        'apache_error':  '/var/log/apache2/error.log',
        'nginx_access':  '/var/log/nginx/access.log',
        'nginx_error':   '/var/log/nginx/error.log',
    },
    'system': {
        'auth':       '/var/log/auth.log',     # 인증
        'syslog':     '/var/log/syslog',       # 시스템 전반
        'kernel':     '/var/log/kern.log',     # 커널
        'mail':       '/var/log/mail.log',
    },
    'app': {
        'docker':     'docker logs <container>',
        'systemd':    'journalctl -u <service>',
        'pm2':        '~/.pm2/logs/',
    },
}

# ⚠️ 이 코드는 허가된 환경에서만 사용하세요.
import os

def log_overview(path: str) -> dict:
    """로그 파일 기본 정보."""
    if not os.path.exists(path):
        return {'error': 'file not found'}

    size = os.path.getsize(path)
    line_count = 0
    sample_lines = []

    with open(path, encoding='utf-8', errors='replace') as f:
        for i, line in enumerate(f):
            line_count += 1
            if i < 5 or (i % 1000 == 0 and len(sample_lines) < 10):
                sample_lines.append(line.rstrip()[:200])
            if i > 100_000:  # 너무 큰 파일은 라인 카운트만
                line_count = '> 100,000'
                break

    return {
        'path': path,
        'size_bytes': size,
        'size_human': f'{size / 1024 / 1024:.1f} MB',
        'lines': line_count,
        'sample_lines': sample_lines,
    }

# print(log_overview('/var/log/nginx/access.log'))

# /etc/logrotate.d/nginx
/var/log/nginx/*.log {
    daily              # 매일 회전
    rotate 14          # 14일치 보관
    compress           # gzip 압축
    delaycompress
    notifempty
    create 640 nginx nginx
    sharedscripts
    postrotate
        nginx -s reopen
    endscript
}

import gzip

def open_log(path: str):
    """gz/일반 로그 모두 처리."""
    if path.endswith('.gz'):
        return gzip.open(path, 'rt', encoding='utf-8', errors='replace')
    return open(path, encoding='utf-8', errors='replace')