Linux 取证135 条

syslog 行格式与年份缺失问题

传统格式（RFC 3164）时间戳不含年份，只有月日与时间；跨年回溯时必须借助文件 mtime、轮转顺序与上下文推断年份。

传统格式	Oct 12 09:15:30 host sshd[1234]: message
RFC 5424	含年份与时区，字段结构化

查看格式

head -3 /var/log/auth.log
grep -c '^[A-Z][a-z][a-z] ' /var/log/auth.log

rsyslog 可配置带年份的格式（如 RSYSLOG_FileFormat），先确认本机采用哪种。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌