Conceito e funcionamento
systemd-journald coleta mensagens de serviços, kernel e outros componentes conforme configuração. Os registros incluem unidade, boot, prioridade e timestamps, e podem ser persistentes ou voláteis. Em Oracle Linux 9, políticas de retenção e acesso determinam o que será possível investigar em incidentes.
Como investigar e correlacionar
Comece por unidade e período, usando journalctl -u, --since e --until. Consulte --list-boots e -b para separar inicializações; salve o horário original e contexto do host. Compare com auditd e aplicação antes de inferir que a ausência de log representa ausência de atividade.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
journalctl --list-boots
sudo journalctl -u sshd --since '-2 hours' --no-pagerESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Um serviço SSH é reiniciado durante manutenção e parte dos logs anteriores parece desaparecer após reboot da VM.
Procedimento orientado
Compare boot IDs, journalctl --list-boots, política Storage e janela de consulta, então confirme se há encaminhamento externo.
Resultado esperado
A análise diferencia ausência por retenção, diferença de boot e interrupção de coleta; recomenda verificação da política de persistência.
Cuidados adicionais
Mensagens em journal não provam que toda ação administrativa gerou log, pois a instrumentação é seletiva.
Limitações e interpretações incorretas
Rotação, reinicialização e armazenamento não persistente podem reduzir histórico. O journal pode registrar mensagens de serviços diferentes em formatos distintos, e quem investiga pode não ter acesso aos registros protegidos.
Checklist de validação
- Verificar persistência e retenção
- Definir período UTC
- Conferir boot ID e unidade
- Correlacionar fonte externa
Referências técnicas
Guias para aprofundar
- jornada do log ate alerta — aguardando publicação editorial
- investigacao comprometimento linux — aguardando publicação editorial