| 关注线索 | USB 新接入、异常挂载/卸载、OOM 与段错误、驱动加载报错 |
|---|---|
| 命令 | dmesg -T / journalctl -k |
检索
检索
dmesg -T | grep -Ei 'usb|mount|oom|error' | tail -50
journalctl -k --since '24 hours ago' | tail -50环形缓冲会覆盖旧记录，重要现场尽早导出。
内核日志（dmesg）线索判读
内核环形缓冲记录硬件、驱动、OOM、挂载等事件。安全事件调查中它用来回答：是否有外部设备接入、是否发生异常挂载或卸载、进程崩溃前内核报了什么错。
易错点
- -T 时间戳用当前时区解释，跨机对比先统一
- 缓冲被新日志覆盖后无法恢复，留取时间窗要早
数据来源与参考
- man 1 dmesg