Domaine 02

Journaux & journald

Les journaux sont la colonne vertébrale de la plupart des investigations Linux. Ce domaine explique où chaque distribution écrit les événements d'authentification et système, comment interroger le journal systemd binaire hors ligne, lire wtmp, btmp et lastlog, et repérer trous et falsifications.

/var/log/auth.log
/var/log/journal
wtmp / btmp

Guides de ce domaine

Ces guides sont pour l'instant publiés en anglais uniquement. Les liens ci-dessous ouvrent la version anglaise.

02 · Journaux & journaldAnglais

Linux Log Forensics: syslog, journald, wtmp and auditd

How to analyse Linux logs in an investigation: rsyslog files, sshd and sudo lines, the journald binary journal, wtmp/btmp, auditd and tampering signs.

logsjournaldsyslog

28 sept. 2026

Fiches artefacts

Emplacement de chaque artefact, ce qu'il prouve, ses horodatages et les outils pour l'analyser.

auth.log, secure et syslog : journaux texte LinuxJournaux texte rsyslog : auth.log et syslog sous Debian/Ubuntu, secure et messages sous RHEL, avec les pièges de rotation et de format d'horodatage.
Journal systemd : le journal binaire de LinuxLe journal binaire systemd-journald : entrées structurées, champs processus fiables, horodatages UTC à la microseconde, souvent le seul journal système.
wtmp, btmp, utmp et lastlog : connexions LinuxEnregistrements de connexion Linux : historique wtmp, échecs btmp, sessions en cours utmp, dernière connexion lastlog et leurs successeurs wtmpdb/lastlog2.
auditd audit.log : la piste d'audit du noyau LinuxLe journal d'audit Linux écrit par auditd : connexions PAM, appels système, arguments execve et fichiers surveillés, liés à l'utilisateur d'origine (auid).
Journaux sudo : traces d'usage de privilèges LinuxComment sudo enregistre qui a exécuté quoi en root sous Linux : lignes syslog et journal, fichier de log optionnel, sessions enregistrées et règles sudoers.
Linux Firewall Logs: iptables, nftables, ufw, firewalldNetfilter packet log lines from iptables, nftables, ufw and firewalld, plus firewall rule files that reveal tampering, on Debian, Ubuntu and RHEL hosts.
Apache and Nginx Logs: Linux Web Server ForensicsApache httpd and nginx access and error logs on Linux: log formats, paths per distro, rotation and how to hunt web shells and exploitation.
dmesg, kern.log and the Kernel Ring Buffer on LinuxThe Linux kernel log: dmesg ring buffer, kern.log, messages, journal and pstore, plus the segfault, OOM kill and promiscuous mode lines that matter.
AppArmor and SELinux Denials: Linux MAC Audit LogsSELinux AVC and AppArmor DENIED records on Linux: where they are logged, how to read them, and how they expose web shells, exploits and disabled enforcement.
logrotate State and Log Gaps: Detecting Linux Log Tamperinglogrotate configuration and state files on Linux: how rotation shapes what logs survive, how to tell normal rotation from deletion, and postrotate persistence.
MySQL, MariaDB and PostgreSQL Logs: Linux Database ForensicsDatabase server evidence on Linux: MySQL/MariaDB error, general and binary logs, PostgreSQL server logs, client history files and the plugins attackers abuse.
cloud-init Logs and Instance Data: Linux Cloud VM Forensicscloud-init on Linux cloud VMs: cloud-init.log, output log, user-data, per-instance state and boot scripts that record provisioning, SSH keys and persistence.

Tous les domaines