Linux 取证135 条

sar 历史性能数据回溯

sysstat 按周期采样并保存到 /var/log/sa/，可回看事件时段的主机负载、磁盘与网络指标，为时间线提供旁证。

文件	/var/log/sa/saDD（按日编号）
命令	sar -f <文件> -s 起点 -e 终点

示例

ls /var/log/sa/ | head
sar -f /var/log/sa/sa15 -s 09:00:00 -e 11:00:00 | head -30

负载陡增、磁盘写入激增的时间点常与数据打包外传动作吻合。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌