Linux 取证135 条

日志轮转策略与保留窗口

轮转决定日志能回溯多久：rotation 周期、保留份数与压缩方式都在 logrotate 配置里，决定了时间线的可见边界。

配置	/etc/logrotate.conf、/etc/logrotate.d/*
字段	daily/weekly、rotate、compress、copytruncate

查看

grep -R -E 'daily|weekly|rotate |compress' /etc/logrotate.d/ | head -20
ls -l /var/log/auth.log*

copytruncate 会让文件被截断而非改名，删除痕迹的判定方式随之不同。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌