Linux 取证135 条

sar 网络历史与数据外传对照

sar -n 提供网卡级别的历史吞吐数据，把外传时间窗与之对照，可判断异常时段是否存在流量抬升。

命令	sar -n DEV -f /var/log/sa/saDD
看什么	rxkB/s、txkB/s 的突增

查看

sar -n DEV -f /var/log/sa/sa15 -s 09:00:00 -e 12:00:00 | head -40

把时间轴与日志事件的分钟级时间点对齐，便于解释流量变化。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌