| 语法 | sed -n '/起点/,/终点/p' 文件 |
|---|---|
| 窗口 | 围绕锚点前后若干分钟 |
窗口截取
窗口截取
sed -n '/2026-01-02 03:10:/,/2026-01-02 03:30:/p' /var/log/auth.log | head -60窗口边界取事件前后各留几分钟，避免漏掉紧邻的前后动作。
用时间窗快速提取日志线索
先按锚点时间窗用 sed 截取日志片段，再针对截取结果做上下文精读，比在全量日志上逐条翻找效率高。
易错点
- 起止模式要把日期带上，避免匹配到其他天的同分钟
- 压缩历史日志先 zcat 再截取
数据来源与参考
- GNU sed 手册
- SANS 日志分析资料