Linux 取证135 条

journald 检索与字段过滤

journalctl 支持按单元、时间窗与字段过滤，-o json-pretty 可看到 _COMM、_EXE、_PID、_AUDIT_SESSION 等结构字段。

用途	结构化日志检索
常用	-u 单元 / --since --until / _COMM= 字段

示例

journalctl -u ssh --since '2026-01-01' --until '2026-01-02' | tail -50
journalctl _COMM=sudo -o short-precise -n 20

时间窗使用本地时区；跨主机对比前先确认各主机时区设置。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌