Linux 取证135 条

journalctl 查看 sshd 服务日志

当认证日志不可用时，通过 unit 过滤 journald 同样能拿到登录记录；Debian 系 unit 名为 ssh，RHEL 系为 sshd。

命令	journalctl -u ssh / journalctl -u sshd
定位	systemctl list-units \| grep -i ssh

查看

journalctl -u ssh --since '2026-01-01' --until '2026-01-02 00:00' -o short-precise | tail -50

journald 日志可能只在内存中，重启后丢失，重要事件尽快导出。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌