Skip to content
Linuxシステム高

Linux Syslog

Plain-text system event log written by rsyslog or syslog-ng, recording kernel messages, daemon output, cron jobs, and (on older distros) authentication events. Standard format on Debian/Ubuntu and RHEL/CentOS systems without journald-only logging.

artifact_type: linux_syslog

保存場所

標準的なファイルシステムパスとレジストリ上の場所です。

  • $/var/log/syslog
  • $/var/log/messages
  • $/var/log/syslog.1
  • $/var/log/syslog.*.gz

フォレンジック上の重要性

このアーティファクトが決定的な証拠になりやすい代表的な調査シナリオです。

  • Detecting kernel-level anomalies (OOM, segfaults, USB attach events)
  • Tracing daemon failures around the time of a known incident
  • Correlating cron job execution with file modifications
  • Spotting log gaps that suggest tampering or anti-forensic activity

MITRE ATT&CKマッピング

このアーティファクトが検知や裏付けに役立つ可能性のある技術です。

T1070.002T1562.006

解析に使えるツール

このアーティファクトの解析でよく使われるunJaena AIおよびDFIRツールです。

unJaena AI
Plaso (log2timeline)
Splunk
Logwatch
grep/awk

関連アーティファクト

Linux

systemd Journal (journald)

Binary, structured, indexed log store written by systemd-journald. Contains kernel ring buffer, dmesg, all unit (service) output, and authenticated metadata such as UID, GID, PID, command line, and SELinux context for every entry.

Linux

Linux Auth Log

Authentication and authorization events emitted by PAM-aware services — sshd logins, sudo invocations, su attempts, screen unlocks, and polkit decisions. The first place to look when scoping a Linux compromise.

Linux

Linux Cron & Scheduler Artifacts

Time-based job scheduler configuration (system and per-user crontabs, drop-in directories) plus the execution log written by cron/anacron. Key artifact for persistence detection on Linux servers.

Windows

RecentDocs

Explorer tracks recently opened files per extension in HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs, including files on removed storage.

参考資料

アーティファクト解析を手作業で終わらせない

unJaena AIはディスクイメージ、ライブレスポンス出力、モバイルバックアップを取り込み、このページのアーティファクトと200件以上の追加項目を自動で関連付け、調査に使えるタイムラインへ整理します。

unJaena AIを試す →