几天来第一次查看我的服务器 auth.log 文件,发现它有没有条目今天早上 6:47 之前。
这真的很奇怪,因为几天前我查看日志文件时将其转储到我的笔记本电脑中,其中有超过 2400 行 cron 作业、入侵尝试等。
当我cat /var/log/auth.log
刚才运行时 - 我预计会有数千行,但只得到了大约 50 行 cron 作业、一次入侵尝试和我最新的 ssh。
为什么会发生这种情况? - Ubuntu 会定期清空此文件吗?我被黑客入侵了吗?
答案1
/etc/cron.daily 中有一个 cronjob(无论如何在 CentOS 中,在 Ubuntu 中可能有所不同)来运行一个名为 logrotate 的工具,它从 /etc/logrotate.d 读取配置并处理系统日志的老化等。
通常,会保存一周的日志,每天轮换一次。在现代实现中,您将看到其他名为的文件/var/log/auth.log.[date]
。尝试执行以下操作:
ls -l /var/log/auth.log*
答案2
有日志轮换,通常发生在早上(我相信默认时间是在 06:25 或之后不久)。看起来您在 logrotate 运行后不久就提取了文件。
根据 logrotate 配置,前一天文件将被命名为 /var/log/auth.log.1。在那里查找它。
logrotate 配置位于 /etc/logrotate.d 中。logrotate 的 cron 任务位于 /etc/cron.daily 中,该目录中的脚本从 /etc/crontab 运行。