Linux 认证日志（auth.log/secure）判读

用途	登录与提权事件回溯
路径	/var/log/auth.log（Debian 系）、/var/log/secure（RHEL 系）

快速浏览

grep -Ei 'ssh|sudo|su' /var/log/auth.log | tail -50
grep 'Accepted' /var/log/secure | tail -20

日志由 rsyslog 或 journald 落盘，先确认 /etc/rsyslog.d/50-default.conf 的 authpriv 规则再判断记录缺失。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌