Linux 认证日志速查

认证与 sudo 记录集中在 /var/log/auth.log（Debian 系）或 /var/log/secure（RHEL 系）：登录成败、来源、执行命令的关键字段都在这里。

用途	从认证日志还原登录行为
路径	/var/log/auth.log 或 /var/log/secure

检索

grep -Ei 'failed|accepted' /var/log/auth.log | tail -50
grep 'sudo:' /var/log/auth.log | tail -30

日志可能已轮转（.1/.gz），全量检索要覆盖轮转文件。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌