Skip to content
Linux Log Parser

Glosario

systemd-logind

El gestor de inicios de sesión de systemd, que numera las sesiones de usuario y registra New session N of user X y Removed session N.

systemd-logind es el servicio de systemd que gestiona los inicios de sesión de los usuarios. Cuando un servicio de inicio de sesión abre una sesión PAM, el módulo pam_systemd la registra en logind, que le asigna un número, crea una unidad scope para sus procesos (session-7.scope) y arranca el gestor de servicios del usuario (user@1001.service) si no está ya en marcha. En un host en ejecución, loginctl list-sessions muestra las sesiones.

logind anuncia cada paso en el journal y, a través de rsyslog, en auth.log: New session 7 of user svc_backup. al iniciar sesión, y Session 7 logged out. Waiting for processes to exit. y Removed session 7. al terminar.

Por qué importa en una investigación

Un solo inicio de sesión SSH produce tres identificadores distintos: el PID de sshd en auth.log, el número de sesión de logind y la sesión de auditoría ses en audit.log. Son números sin relación entre sí, pero se crean con milisegundos de diferencia, así que una sesión se reconstruye entre fuentes por la hora y el usuario. El número de logind es el enlace con el journal: los procesos iniciados en la sesión se ejecutan dentro de session-7.scope, y sus entradas llevan el campo de confianza _SYSTEMD_SESSION=7. El gestor de usuario también cuenta: un servicio de usuario de systemd instalado por un intruso lo arranca systemd[PID] con la identidad de ese usuario, y así es como la persistencia a nivel de usuario aparece en syslog y en el journal. Una sesión con línea New session pero sin Removed session puede que siguiera abierta al recopilar, o que el host se colgara.

Ejemplo

2026-09-14T10:02:11.482113+00:00 fin-jump-01 sshd[3071]: Accepted password for svc_backup from 203.0.113.45 port 51544 ssh2
2026-09-14T10:02:11.491113+00:00 fin-jump-01 sshd[3071]: pam_unix(sshd:session): session opened for user svc_backup(uid=1001) by svc_backup(uid=0)
2026-09-14T10:02:11.494113+00:00 fin-jump-01 systemd-logind[845]: New session 7 of user svc_backup.

El PID de sshd 3071, la sesión de logind 7 y, en audit.log, ses=114 describen el mismo inicio de sesión.

Términos relacionados

  • pam_unix: la línea de sesión registrada justo antes.
  • auid: la sesión de auditoría del mismo inicio de sesión.
  • Journal de systemd: donde se guarda _SYSTEMD_SESSION.

Linux Log Parser fusiona estos identificadores en una sola sesión. Consulta la guía principal.