Linux 日志分析：journalctl 与 rsyslog

出了问题，答案几乎总在日志里。对信安学习者来说，日志更是入侵排查的第一现场。

日志都住在哪#

/var/log/syslog 或 /var/log/messages：系统主日志
/var/log/auth.log：登录认证记录（谁尝试 SSH 了，都在这）
/var/log/nginx/access.log：Web 访问日志
journalctl：systemd 统一管理的二进制日志

journalctl 五个高频用法#

1
journalctl -n 50                  # 最近 50 行
2
journalctl -f                     # 实时跟踪
3
journalctl -u ssh --since today   # 今天 SSH 服务的日志
4
journalctl -p err -n 30           # 只看错误级别
5
journalctl --disk-usage           # 日志占了多少磁盘

排查 SSH 爆破#

1
# 统计今天谁在爆破我的 SSH
2
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head
3

4
# 输出类似：
5
# 152 203.0.113.66
6
# 89  198.51.100.23

一眼就能看出哪些 IP 在反复试密码——这就是封禁名单的来源。

让日志无法被悄悄删除#

攻击者拿到权限后第一件事往往是删日志。防御：

1
# 追加模式 + 不可删除属性
2
chattr +a /var/log/auth.log    # 只能追加，不能改删（root 也绕不过）
3
lsattr /var/log/auth.log       # 查看：显示 a 标志
4

5
# 解除（自己维护时）
6
chattr -a /var/log/auth.log