| 边界 | Accepted → session closed / Disconnect |
|---|---|
| 旁证 | shell history、sudo、审计日志的 tty 字段 |
会话窗口提取
会话窗口提取
sed -n '/03:20:0/,/05:40:/p' /var/log/auth.log | grep -E 'Accepted|sudo|Disconnect|closed' | head -40缺少结束记录时用下一条登录或重启记录作为近似边界，并注明假设。
会话重建：从登录到退出
以登录记录为起点、注销为终点，把中间的命令执行、网络连接、文件操作按时间归入同一次会话，形成可读的会话叙事。
易错点
- 多登录并存时用来源端口区分
- 系统重启会截断未结束的会话
数据来源与参考
- SANS 会话重建资料
- auditd 文档（tty 字段）