日志溯源53 条

按小时统计日志条数查缺口

对单一日志文件按小时聚合行数，缺口与突降会浮现；与轮转记录、重启记录对照后再标记为可疑时段。

命令	cut/sort/uniq 或 awk 聚合
对照	logrotate 时间、重启与关机记录

小时聚合

grep -E '^[A-Z][a-z]{2} +[0-9]+ [0-9:]+' /var/log/auth.log | awk '{print $1" "$2" "substr($3,1,2)}' | uniq -c | tail -24

syslog 时间不带年份，跨年日志要按文件顺序与轮转文件确定所属年份。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌