| 文本日志 | /var/log/audit/audit.log、messages、secure |
|---|---|
| 二进制 | wtmp/btmp/lastlog 一并保留 |
| journal | journalctl 可按时间窗导出 |
| 打包 | tar + sha256，记录时间窗 |
打包日志并导出 journal
打包日志并导出 journal
tar -zcf /evidence/logs_$(date +%F_%H%M).tgz /var/log/audit /var/log/messages /var/log/secure /var/log/wtmp /var/log/btmp 2>/dev/null
sha256sum /evidence/logs_*.tgz > /evidence/logs.sha256
journalctl --since "2026-10-01" --no-pager > /evidence/journal_dump.txtwtmp/btmp 为二进制：用 cp -a 保留属性；打包前确认服务未独占写入。