Área 02

Registros y journald

Los registros son la columna vertebral de casi toda investigación en Linux. Esta área explica dónde escribe cada distribución los eventos de autenticación y de sistema, cómo consultar el journal binario de systemd sin conexión, cómo leer wtmp, btmp y lastlog y cómo detectar huecos y manipulaciones.

/var/log/auth.log
/var/log/journal
wtmp / btmp

Guías de esta área

Por ahora estas guías solo están publicadas en inglés. Los enlaces siguientes abren la versión en inglés.

02 · Registros y journaldInglés

Linux Log Forensics: syslog, journald, wtmp and auditd

How to analyse Linux logs in an investigation: rsyslog files, sshd and sudo lines, the journald binary journal, wtmp/btmp, auditd and tampering signs.

logsjournaldsyslog

28 sept 2026

Fichas de artefactos

Dónde vive cada artefacto, qué demuestra, sus marcas de tiempo y las herramientas para analizarlo.

auth.log, secure y syslog: logs de texto de LinuxLogs de texto de rsyslog en Linux: auth.log y syslog en Debian/Ubuntu, secure y messages en RHEL, con las trampas de rotación y formato de fecha.
Journal de systemd: el registro binario de LinuxEl registro binario de systemd-journald: entradas estructuradas, campos de proceso fiables y marcas de tiempo UTC en microsegundos, a menudo el único log.
wtmp, btmp, utmp y lastlog: registros de login en LinuxRegistros binarios de login en Linux: historial wtmp, logins fallidos en btmp, sesiones activas en utmp, lastlog por UID y sus sucesores wtmpdb/lastlog2.
auditd audit.log: registro de auditoría del kernelEl log de auditoría de Linux escrito por auditd: logins PAM, syscalls, argumentos de execve y accesos vigilados, cada uno ligado al usuario original (auid).
Logs de sudo: uso de privilegios en LinuxCómo registra sudo quién ejecutó qué como root en Linux: líneas de syslog y del journal, archivos de log opcionales, grabaciones de E/S y archivos sudoers.
Linux Firewall Logs: iptables, nftables, ufw, firewalldNetfilter packet log lines from iptables, nftables, ufw and firewalld, plus firewall rule files that reveal tampering, on Debian, Ubuntu and RHEL hosts.
Apache and Nginx Logs: Linux Web Server ForensicsApache httpd and nginx access and error logs on Linux: log formats, paths per distro, rotation and how to hunt web shells and exploitation.
dmesg, kern.log and the Kernel Ring Buffer on LinuxThe Linux kernel log: dmesg ring buffer, kern.log, messages, journal and pstore, plus the segfault, OOM kill and promiscuous mode lines that matter.
AppArmor and SELinux Denials: Linux MAC Audit LogsSELinux AVC and AppArmor DENIED records on Linux: where they are logged, how to read them, and how they expose web shells, exploits and disabled enforcement.
logrotate State and Log Gaps: Detecting Linux Log Tamperinglogrotate configuration and state files on Linux: how rotation shapes what logs survive, how to tell normal rotation from deletion, and postrotate persistence.
MySQL, MariaDB and PostgreSQL Logs: Linux Database ForensicsDatabase server evidence on Linux: MySQL/MariaDB error, general and binary logs, PostgreSQL server logs, client history files and the plugins attackers abuse.
cloud-init Logs and Instance Data: Linux Cloud VM Forensicscloud-init on Linux cloud VMs: cloud-init.log, output log, user-data, per-instance state and boot scripts that record provisioning, SSH keys and persistence.

Todas las áreas