Linux 取证135 条

journald 日志导出与离线分析

把 journal 导出为结构化文件后可脱离主机分析：export 格式保留完整字段，json 便于脚本处理。

命令	journalctl -o export / -o json
场景	主机将关机或需送外部分析

导出

journalctl --since '2026-01-01' --until '2026-01-02' -o export > /mnt/ev/journal.export
journalctl -u ssh -o json --since today > /mnt/ev/ssh.json

导出后用 journalctl --file 可在分析机上继续检索，无需原始目录结构。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌