Bereich 02

Logs & Journal

Logs sind das Rückgrat der meisten Linux-Untersuchungen. Dieser Bereich zeigt, wohin jede Distribution Authentifizierungs- und Systemereignisse schreibt, wie man das binäre systemd-Journal offline abfragt, wtmp, btmp und lastlog liest und Lücken sowie Manipulationen erkennt.

/var/log/auth.log
/var/log/journal
wtmp / btmp

Leitfäden in diesem Bereich

Diese Leitfäden sind derzeit nur auf Englisch verfügbar. Die folgenden Links öffnen die englische Fassung.

02 · Logs & JournalEnglisch

Linux Log Forensics: syslog, journald, wtmp and auditd

How to analyse Linux logs in an investigation: rsyslog files, sshd and sudo lines, the journald binary journal, wtmp/btmp, auditd and tampering signs.

logsjournaldsyslog

28. Sept. 2026

Artefakt-Spickzettel

Wo jedes Artefakt liegt, was es belegt, seine Zeitstempel und die Tools zur Auswertung.

auth.log, secure und syslog: Textlogs unter Linuxrsyslog-Textlogs unter Linux: auth.log und syslog unter Debian/Ubuntu, secure und messages unter RHEL, mit Fallstricken bei Rotation und Zeitformat.
systemd-Journal: das binäre Systemlog unter LinuxDas binäre Log von systemd-journald: strukturierte Einträge mit vertrauenswürdigen Prozessfeldern und UTC-Zeitstempeln in Mikrosekunden.
wtmp, btmp, utmp und lastlog: Login-Daten unter LinuxBinäre Login-Daten unter Linux: wtmp-Sitzungshistorie, btmp-Fehlversuche, utmp-Live-Sitzungen, lastlog pro UID und die Nachfolger wtmpdb/lastlog2.
auditd audit.log: der Kernel-Audit-Trail unter LinuxDas von auditd geschriebene Linux-Audit-Log: PAM-Anmeldungen, Syscalls, execve-Argumente und überwachte Dateizugriffe, jeweils mit dem Login-Benutzer (auid).
sudo-Logs: Nachweise der Rechtenutzung unter LinuxWie sudo unter Linux festhält, wer was als root ausgeführt hat: syslog- und Journal-Zeilen, optionale Logdateien, I/O-Mitschnitte und sudoers-Richtlinien.
Linux Firewall Logs: iptables, nftables, ufw, firewalldNetfilter packet log lines from iptables, nftables, ufw and firewalld, plus firewall rule files that reveal tampering, on Debian, Ubuntu and RHEL hosts.
Apache and Nginx Logs: Linux Web Server ForensicsApache httpd and nginx access and error logs on Linux: log formats, paths per distro, rotation and how to hunt web shells and exploitation.
dmesg, kern.log and the Kernel Ring Buffer on LinuxThe Linux kernel log: dmesg ring buffer, kern.log, messages, journal and pstore, plus the segfault, OOM kill and promiscuous mode lines that matter.
AppArmor and SELinux Denials: Linux MAC Audit LogsSELinux AVC and AppArmor DENIED records on Linux: where they are logged, how to read them, and how they expose web shells, exploits and disabled enforcement.
logrotate State and Log Gaps: Detecting Linux Log Tamperinglogrotate configuration and state files on Linux: how rotation shapes what logs survive, how to tell normal rotation from deletion, and postrotate persistence.
MySQL, MariaDB and PostgreSQL Logs: Linux Database ForensicsDatabase server evidence on Linux: MySQL/MariaDB error, general and binary logs, PostgreSQL server logs, client history files and the plugins attackers abuse.
cloud-init Logs and Instance Data: Linux Cloud VM Forensicscloud-init on Linux cloud VMs: cloud-init.log, output log, user-data, per-instance state and boot scripts that record provisioning, SSH keys and persistence.

Alle Bereiche