Ders 1.73: Açılışlar arasında günlüğü okumak
systemd günlüğü her biri kendi açılış kimliğine sahip birkaç açılışın girdilerini tutar ve kendi dosyalarını bozulmaya karşı denetleyebilir. Beklenmedik bir yeniden başlatmadan sonra önceki açılışın sonu çoğu zaman neden olduğunu, boşluklar da birinin neyin kaydedilmesini istemediğini söyler. Laboratuvarda ele geçirilmiş Git sunucusunun açılışlarını listeliyor, önceki açılışın nasıl bittiğini okuyor, saldırganın etkinliğini ve yokluğunu arıyor, günlük dosyalarını doğruluyor ve günlüklerin dokunulmamış bir kopyasının nerede durduğunu buluyorsun.
18 dk
Bu derste öğreneceklerin
- Açılışları journalctl --list-boots ile listelemek
- Önceki bir açılışı -b -1 ile okumak
- Açılış, tanımlayıcı ve zaman süzgeçlerini birleştirmek
- Günlük dosyalarını --verify ile denetlemek
- Merkezi kopyaların nerede yardımcı olduğunu bilmek
Temel terimler
- Açılış kimliği
- Her açılış için rastgele bir kimlik; her günlük girdisi onu taşır.
- -b -1
- Önceki açılışın girdileri (0 şu anki).
- Kalıcı günlük
- /var/log/journal'da saklanır; yeniden başlatmalardan sağ çıkar. O olmadan yalnızca şu anki açılış tutulur.
- journalctl --verify
- Günlük dosyalarının tutarlılığını denetler; dosya başına PASS ya da FAIL.
- Günlük iletme
- Her iletiyi yazıldığı anda başka bir sunucuya göndermek.
← Süreç belleğindeki sırlar ve ptrace · Tüm dersler · eBPF saklanma yeri olduğunda →