为什么我的 auth.log 文件已清空 - 这是正常的吗?

为什么我的 auth.log 文件已清空 - 这是正常的吗?

几天来第一次查看我的服务器 auth.log 文件,发现它有没有条目今天早上 6:47 之前。

这真的很奇怪,因为几天前我查看日志文件时将其转储到我的笔记本电脑中,其中有超过 2400 行 cron 作业、入侵尝试等。

当我cat /var/log/auth.log刚才运行时 - 我预计会有数千行,但只得到了大约 50 行 cron 作业、一次入侵尝试和我最新的 ssh。

为什么会发生这种情况? - Ubuntu 会定期清空此文件吗?我被黑客入侵了吗?

答案1

/etc/cron.daily 中有一个 cronjob(无论如何在 CentOS 中,在 Ubuntu 中可能有所不同)来运行一个名为 logrotate 的工具,它从 /etc/logrotate.d 读取配置并处理系统日志的老化等。

通常,会保存一周的日志,每天轮换一次。在现代实现中,您将看到其他名为的文件/var/log/auth.log.[date]。尝试执行以下操作:

ls -l /var/log/auth.log*

答案2

有日志轮换,通常发生在早上(我相信默认时间是在 06:25 或之后不久)。看起来您在 logrotate 运行后不久就提取了文件。

根据 logrotate 配置,前一天文件将被命名为 /var/log/auth.log.1。在那里查找它。

logrotate 配置位于 /etc/logrotate.d 中。logrotate 的 cron 任务位于 /etc/cron.daily 中,该目录中的脚本从 /etc/crontab 运行。

相关内容