로그인 기록과 시스템 장애 로그 확인 순서

접속 이상이나 서비스 장애를 확인할 때 보는 리눅스 로그를 목적별로 정리했습니다. 배포판과 rsyslog 설정에 따라 파일 로그가 없을 수 있으므로 systemd journal도 함께 확인합니다. 조회에는 관리자 권한이 필요할 수 있습니다.

현재 접속과 과거 로그인

w는 현재 세션과 수행 중인 명령을, last는 로그인 이력을 보여줍니다. lastb는 로그인 실패 기록이며 해당 기록 파일이 생성된 환경에서 사용할 수 있습니다.

w
last lieper
lastlog -u lieper
sudo lastb

w의 FROM은 접속 출발지, LOGIN@는 로그인 시각, IDLE은 유휴 시간입니다. 공유 계정이나 NAT를 사용하는 환경에서는 이 정보만으로 작업자를 단정하지 않습니다. history 역시 셸 설정에 따라 누락·변경될 수 있어 단독 감사 근거로 삼지 않습니다.

인증과 서비스 로그

Red Hat 계열에서는 /var/log/secure에서 SSH·su·sudo 관련 이벤트를, /var/log/messages에서 일반 시스템 메시지를 확인하는 경우가 많습니다. 특정 서비스와 시간 범위를 먼저 좁히면 대량 로그에서도 사건 전후를 비교하기 쉽습니다.

sudo journalctl -u sshd --since '1 hour ago' --no-pager
sudo journalctl -u crond --since today --no-pager
sudo tail -n 100 /var/log/secure

부팅과 커널 확인

디스크·장치·메모리 오류는 커널 로그에서 확인합니다. 직전 부팅의 기록이 남는지는 journal 보관 설정에 따라 다릅니다. 필요한 경우 로그를 별도 보관한 뒤 재부팅합니다.

sudo journalctl -k -b --no-pager
sudo journalctl -b -1 -p warning --no-pager
sudo dmesg -T | tail -n 100

서비스 시작 실패는 systemctl status와 해당 서비스의 journal을 함께 확인합니다. 로그의 시간대, 서버 시간 동기화, 순환 여부를 확인하고 여러 서버의 이벤트를 같은 시간 기준으로 비교합니다. 공유할 때는 계정·주소·요청 데이터 등 불필요한 정보를 지웁니다.