| 工具 | zgrep / zcat / xzgrep |
|---|---|
| 场景 | 跨天或跨周的回溯统计 |
检索
检索
zgrep -c 'Failed password' /var/log/auth.log.*.gz
zcat /var/log/auth.log.2.gz | grep 'Accepted' | head批量统计时把普通文件与压缩文件分开处理，避免文件名通配漏项。
压缩历史日志检索
轮转后的旧日志多以 .gz 或 .xz 保存，用 zgrep、xzgrep 可直接检索，必要时再用 zcat 管道交给 awk 统计。
易错点
- 部分发行版用 xz 压缩，需改用 xzgrep
- 检索结果要保留原始文件名，报告中注明数据来源与时间段
数据来源与参考
- gzip 官方文档（zgrep、zcat）