/var/log/auth.log 不完整是否是未经授权访问的症状？

Question

您的问题的答案取决于您配置的日志轮换。默认情况下，Ubuntu 配置为轮换日志文件，因此您应该在 /var/log 中看到类似以下内容的文件

auth.log
auth.log.1
auth.log.2.gz
auth.log.3.gz
auth.log.4.gz

第一个文件 (auth.log) 是当前日志，auth.log.1 是较旧的条目，auth.log.2.gz 是使用 gz 压缩的更旧的条目。数字越大，日志条目越早。

您可以通过查看 /etc/logrotate.d/rsyslog 来检查您的日志轮换设置，在 Ubuntu 14.04 上其中包含如下部分：

/var/log/mail.info
...
/var/log/kern.log
/var/log/auth.log
/var/log/user.log
...
/var/log/messages
{
        rotate 4
        weekly
        missingok
        notifempty
        compress
        delaycompress
        sharedscripts
        postrotate
                reload rsyslog >/dev/null 2>&1 || true
        endscript
}

第一行表示应保留 4 个旧版本，下一行设置每周轮换一次。

如果您的日志轮换相同，您可以预期 auth.log 文件每周都会轮换（重命名为 auth.log.1）。查看 auth.log.1 日志并确保其最新条目位于 auth.log 中最旧条目之后。如果是这种情况，则您似乎拥有连续的日志，并且一切运行正常（日志按预期轮换）。

关于日志的安全性，日志文件的修改日期不应晚于该文件中最新的日志条目或压缩日期。如果您发现几周或几个月前的日志在过去几天被修改，这是一个警告信号。

主要是，日志的内容有意义吗？登录时间是否与管理员或其他有访问权限的用户的登录时间相匹配？对于禁用 root 登录的人来说，您的日志可能非常麻烦 - 但这种活动对您的系统来说可能是正常的。

注意：从 auth.log 到 auth.log.1（等等）有“连续”的日志条目并不意味着您的服务器是安全的。攻击者可能只会删除与其活动相关的条目 - 而不会删除一大段，以免他们的入侵显而易见。如果您担心安全问题，则应检查是否存在 rootkit 和其他恶意软件以及异常活动。

Answer 1