Skip to content
Linux Log Parser

Linux Log Parser

auth.log, syslog, secure, el journal de systemd, auditd y wtmp/btmp en una sola línea de tiempo: inicios de sesión SSH y fuerza bruta, sudo y su, cuentas nuevas, persistencia con cron y systemd, sesiones reconstruidas e indicios de manipulación de registros. Se procesan en su navegador con WebAssembly; sus registros nunca se suben.

Suelte registros de Linux, una carpeta /var/log o una recopilación de UAC / Velociraptor

auth.log, secure, syslog, messages (rotados y .gz), *.journal, journalctl -o export / -o json, audit.log, wtmp, btmp, utmp, lastlog, wtmp.db, lastlog2.db, además de /etc/localtime, /etc/timezone y /etc/passwd como contexto. Archivos, carpetas, .zip, .tar y .tar.gz.

El ejemplo es sintético: una intrusión ficticia en el servidor de salto fin-jump-01, que puede explorar sin riesgo.

Procesado en su navegador. Nada se sube.

Cómo obtener sus registros

Guía de recopilación completa

El analizador lee los archivos tal como están en el host: registros de texto (también rotados y comprimidos), archivos del journal, audit.log y los registros binarios de inicio de sesión. Cópielos con permisos de root, conserve la estructura de carpetas y suelte el archivo comprimido aquí.

  1. Recopilar como root (un comando)
  2. Soltar aquí el .tar.gz o la carpeta
  3. Procesado localmente, nunca se sube

En el host, como root: un único archivo con /var/log (registros de texto, journal, auditoría, wtmp/btmp/lastlog), el journal volátil y los archivos de contexto. Las rutas que no existen se omiten con un aviso.

bash · root
sudo tar -C / -czf /tmp/linux-logs.tar.gz --ignore-failed-read --sparse \
  var/log run/log/journal etc/localtime etc/timezone etc/passwd etc/hostname

Copie /tmp/linux-logs.tar.gz a su estación de trabajo y suéltelo aquí tal cual: el archivo se abre en el navegador.

bash
scp user@host:/tmp/linux-logs.tar.gz .

Si solo puede ejecutar journalctl

El formato export de journalctl no tiene pérdidas y conserva todos los campos; esta herramienta lo lee, además de -o json. Los archivos del journal en bruto siguen siendo mejores: conservan los números de secuencia, que revelan las entradas eliminadas.

bash · root
sudo journalctl -o export > journal.export
sudo journalctl -D /mnt/evidence/var/log/journal -o export > journal.export   # from a mounted image

Todos los registros de auditoría rotados en un solo archivo, en formato raw:

bash · root
sudo ausearch --input-logs --raw > audit.log

Antes de recopilar

  • Ejecute como root: auth.log, btmp, audit.log y el journal no son legibles por usuarios normales.
  • Incluya todas las rotaciones (.1, .2.gz, archivos fechados) y los archivos .journal~: contienen el historial más antiguo y los finales dañados.
  • Copie /run/log/journal en un host en vivo: un journal volátil se pierde al reiniciar.
  • lastlog es un archivo disperso que puede parecer enorme; tar --sparse (como arriba) solo almacena las posiciones usadas.
  • Guarde un hash del archivo y anote cuándo hizo la recopilación: logrotate puede ejecutarse mientras trabaja.

Qué lee Linux Log Parser

Un host Linux registra la autenticación, el uso de privilegios y la actividad de los servicios en varios lugares a la vez: archivos de texto escritos por rsyslog (auth.log y syslog en Debian y Ubuntu, secure y messages en RHEL), el journal binario de systemd, el registro de auditoría escrito por auditd y los registros binarios de inicio de sesión wtmp, btmp, utmp y lastlog (o wtmpdb y lastlog2 en sistemas más recientes).

Esta herramienta los lee todos en su navegador y los reúne en una sola línea de tiempo. Cada línea se normaliza en un evento con su host, programa, id de proceso, usuario, dirección de origen y comando, y se clasifica: inicios de sesión SSH y fallos, sudo y su, cambios de cuentas y contraseñas, cambios en cron y systemd, módulos del kernel, detención del registro. Los inicios y cierres de sesión se emparejan en sesiones, con los comandos ejecutados dentro cuando auditd los registró.

Dónde están los archivos

  • /var/log/auth.log, /var/log/syslog (Debian, Ubuntu) y /var/log/secure, /var/log/messages (RHEL, Rocky, Alma, Fedora), con sus rotaciones (.1, .2.gz, nombres con fecha).
  • /var/log/journal/<machine-id>/*.journal y *.journal~ (journal persistente), /run/log/journal/ (volátil).
  • /var/log/audit/audit.log y sus rotaciones (audit.log.1 …).
  • /var/log/wtmp, /var/log/btmp, /var/log/lastlog, /run/utmp; wtmpdb en /var/lib/wtmpdb/wtmp.db (Debian 13: /var/log/wtmp.db) y lastlog2 en /var/lib/lastlog/lastlog2.db.
  • /etc/localtime o /etc/timezone (zona horaria para las líneas syslog tradicionales) y /etc/passwd (de UID a nombre).

Qué muestra

  • Adivinación de contraseñas seguida de un inicio de sesión correcto, desde la misma dirección u otra; inicios de sesión desde direcciones que una cuenta nunca usó; inicios de sesión directos como root.
  • Uso de sudo y su, incluidas las shells de root interactivas, y los intentos fallidos o rechazados.
  • Cuentas creadas, añadidas a grupos de administración o con una contraseña nueva; ediciones de crontab, archivos de unidad de systemd y unidades que se inician por primera vez; módulos del kernel.
  • Indicios de manipulación de registros: huecos en los números de secuencia del journal, líneas de autenticación presentes en el journal pero ausentes de auth.log, registros de wtmp borrados o truncados, servicios de registro detenidos y comandos que borran registros.
  • Sesiones desde el inicio hasta el cierre, reconstruidas a partir de las líneas de sshd y PAM, systemd-logind, los id de sesión de auditoría y wtmp, con lo que ocurrió dentro de ellas.

Lo que no puede decirle

  • Los registros solo contienen lo que se registró: sin reglas de auditoría de execve no hay constancia de los comandos, y los comandos internos de la shell nunca se registran.
  • Los mensajes los escriben los programas, y cualquier usuario local puede inyectar líneas de aspecto similar con logger. Los campos del journal con guion bajo (_UID, _EXE, _CMDLINE) son los fiables.
  • Las líneas syslog tradicionales no tienen año ni zona: el resultado depende de la fecha del archivo y de la zona que configure. La herramienta indica cuándo ha deducido algo.
  • Los hallazgos son pistas, no veredictos: los administradores dejan muchas de las mismas huellas. Los registros de servidores web no se analizan.

Cómo obtener los archivos

  • Lo más fácil: como root, empaquete con tar /var/log, /run/log/journal y /etc/localtime, /etc/timezone, /etc/passwd, /etc/hostname en un solo .tar.gz y suéltelo aquí (vea la guía anterior).
  • Las recopilaciones de UAC (tar.gz) y los ZIP de Velociraptor pueden soltarse tal cual.
  • En un equipo apagado, monte el sistema de archivos en solo lectura y archive las mismas rutas.

Preguntas

¿Se suben mis registros?

No. Los archivos se leen y analizan en su navegador mediante WebAssembly que se ejecuta en un Web Worker. Nada se envía a un servidor; al cerrar la pestaña se olvida todo.

¿Puede leer archivos binarios del journal sin journalctl?

Sí. El motor decodifica directamente el formato de los archivos del journal, incluida la disposición compacta de systemd 252 y posteriores y los campos comprimidos con XZ, LZ4 o ZSTD. También lee la salida de journalctl -o export y -o json.

¿Cómo trata las líneas de auth.log sin año?

Las líneas syslog tradicionales (Sep 14 10:02:11) no tienen año ni zona horaria. La herramienta deduce los años hacia atrás a partir de la fecha de modificación del archivo (o del evento fechado más reciente) y convierte la hora local con la zona de /etc/localtime o /etc/timezone. Ambos pueden configurarse a mano, y cada hora deducida queda marcada.

¿Por qué algunas líneas de auth.log aparecen como duplicados?

En los hosts con systemd, rsyslog recibe sus líneas de journald, así que auth.log y el journal contienen los mismos eventos. La copia del journal tiene campos fiables y horas con microsegundos, por lo que la línea de texto se marca como duplicado y se oculta por defecto. Las líneas presentes en solo uno de los dos se conservan y, en el caso de líneas de autenticación ausentes de auth.log, se señalan.

¿Detecta entradas de registro eliminadas?

Informa de lo que se puede medir: huecos en los números de secuencia del journal, entradas de autenticación que el journal contiene pero auth.log no, registros de wtmp borrados o truncados, y comandos que detienen el registro o borran registros. Un resultado limpio no prueba que no se haya eliminado nada.

¿Qué distribuciones son compatibles?

Las estructuras de Debian, Ubuntu, RHEL y sus derivadas, Fedora, SUSE y Arch: formatos rsyslog tradicional y RFC 3339, RFC 5424, el journal de systemd, registros de auditd RAW y ENRICHED, wtmp en las disposiciones de registro x86_64 y aarch64, wtmpdb y lastlog2.

Blog

Leer el blog
EXECVE en auditd: auid, ses y argumentos en hexadecimal
Reconstruir líneas de comando desde audit.log de Linux: agrupar registros por evento, argumentos EXECVE, valores en hexadecimal, y auid y ses a través de sudo.
linux-forensicsauditdexecvecommand-line
Análisis forense de auth.log y secure: SSH, sudo y su
Leer /var/log/auth.log y /var/log/secure: fuerza bruta e inicios de sesión SSH, shells de root con sudo y su, cambios de contraseñas y cuentas, formatos de hora
linux-forensicsauth-logsshsudo
Recopilar logs de Linux: tar, UAC y Velociraptor
Qué recopilar para investigar logs de Linux y cómo: un comando tar en un host en vivo, journalctl, ausearch, UAC, Velociraptor o una imagen de disco montada.
linux-forensicsacquisitionuacvelociraptor