日志溯源53 条

日志转发链完整性核查

集中化日志的前提是链路可靠：转发协议、队列与磁盘缓冲决定断链窗口，取证时要先确认"日志没有缺"。

用途	确认日志证据的完整性
关注	转发协议 / 队列 / 缓冲 / 心跳

核查点

grep -E 'omfwd|action\(type' /etc/rsyslog.conf
ls -lh /var/spool/rsyslog/   # 队列落盘情况
journalctl -u rsyslog -n 50

发现断链段要在报告中声明盲区，避免过度解读。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌