로그 분석 실습 · Linux 관리 (2)

SSH 인증 로그와 서비스 로그를 사건 단위로 묶기

시간·프로세스·세션 필드를 따라 로그 줄의 의미를 구분하고 원인을 과장하지 않는다.

1. 인증과 세션의 서로 다른 메시지를 나눈다Accepted password는 인증 수락, session opened는 세션 시작, session closed는 세션 종료의 단서다. systemd-logind의 세션 번호와 sshd PID를 연결해 순서를 좁힌다.
2. 서비스 메시지의 주체를 먼저 확인한다DNS 질의·systemd 세션·PHP 정리 작업이 섞인 syslog에서는 프로그램 태그를 먼저 읽는다. grep 문자열 하나로 추출한 출력도 다른 프로그램의 줄을 포함할 수 있다.
3. 관찰 사실과 가설을 분리한다보고서에는 '인증 수락 기록이 있다'와 '계정 탈취가 의심된다'를 구분해 쓴다. 후자는 계정 소유자 확인·접근 대상·후속 프로세스 증거를 더 요구한다.