| 服务 | shell（514/tcp）、syslog（514/udp） |
|---|---|
| 协议 | TCP/UDP |
| 背景 | r-services / BSD syslog |
| 现状 | rsh 弃用；syslog 逐步转向 TLS |
经典 syslog 无认证、无完整性保护，任何能发送 UDP 514 的源都可以注入伪造日志；合规环境应改用 RFC 5424 + TLS（6514）。
接收端抓取 syslog 流量（排查用）
接收端抓取 syslog 流量（排查用）
sudo tcpdump -ni any port 514 -c 20日志链路被伪造会污染审计与告警；跨网段收集日志请启用加密与源校验。