Linux 取证135 条

生效配置快照（sshd -T）

sshd -T 输出运行中生效的完整配置，把配置快照与登录日志一并归档，能避免事后改动导致无法复现当时策略。

命令	sshd -T
注意	需要 root；输出为纯文本可 diff

留存

sshd -T > /mnt/ev/sshd_effective_$(date +%Y%m%d%H%M).txt
wc -l /mnt/ev/sshd_effective_*.txt

事故后主机配置常被修改，先抓快照再排查可保住现场状态。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌