| 配置 | Subsystem sftp ... |
|---|---|
| 观察 | 子系统会话、目标目录新增文件 |
检索
检索
grep -i 'subsystem' /var/log/auth.log | tail -20
grep -E '^\s*Subsystem' /etc/ssh/sshd_configscp 使用远端 scp 程序，会在进程执行记录中留下痕迹；sftp 走子系统通道。
SFTP/SCP 文件传输痕迹
文件传输是数据外带与工具投递的通道：服务端日志记录子系统启动，客户端侧进程与目标目录改动可交叉印证。
易错点
- 日志默认不记录传输文件路径，需要结合目标目录时间窗排查
- 内部网络的大文件传输也可能走其他协议，不要局限在 SSH
数据来源与参考
- OpenSSH 手册（sftp-server 与 Subsystem 配置）