| 方法 | 按小时聚合条目数，找空洞时段 |
|---|---|
| 时间戳 | stat 看 mtime/ctime 与内容时间是否矛盾 |
| 常见原因 | 轮转、服务重启、磁盘写满 |
| 反取证特征 | 断档前后权限/属主变化、部分行被删 |
检查分布与时间戳
检查分布与时间戳
awk '{print $1" "$2}' /var/log/auth.log | uniq -c | tail -n 40
stat -c '%y %z %s %n' /var/log/auth.log /var/log/secure 2>/dev/null
wc -l /var/log/auth.log /var/log/auth.log.1 2>/dev/null内容时间与 mtime 明显矛盾（如 mtime 是凌晨、末条日志在昨天下午）时，优先怀疑日志文件被处理过。