systemd :-E

пишем в бинарь -> выдираем из бинаря в текст -> парсим

пишем в текст -> парсим

какая цепочка короче? ну и я уж промолчу, что систем без текстового редактора не бывает, а без systemd - сколько угодно

лично для меня намного проще и быстрее пользоваться именно теми инструментами, к которым я привык за 10 лет использования линукса. и это именно греп и регулярки.

Ключевые слова тут «лично для меня». Это не значит, что для всех. Я понимаю, пересаживаться с одного на другое всегда неприятно, но иногда это всё-таки стоит делать. Попользуетесь какое-то время - понравится. Не раз такое было.

кроме того, текстовый output - это эдакая часть unixway, которую многие почему-то любят. угадаешь, за что?

И угадывать не надо. Только у нас его никто не отбирал:

journalctl > log

Всего лишь мера наивной безопасности.

ffgj

Следы взлома просто так убрать не выйдет.

Где-то это уже тут на лор проскакивало, что достаточно просто обрезать лог до нужного места.

пишем в бинарь -> выдираем из бинаря в текст -> парсим

пишем в текст -> парсим

Какая разница, если оно работает быстро?

И опять же, основная задача - помешать изменению логов злоумышленником.

Где-то это уже тут на лор проскакивало, что достаточно просто обрезать лог до нужного места.

Рабочая реализация есть? Что-то мне подсказывает, что просто так вырезать кусок из бинарного лога, не поломав его, не получится.

Ключевые слова тут «лично для меня». Это не значит, что для всех. Я понимаю, пересаживаться с одного на другое всегда неприятно, но иногда это всё-таки стоит делать. Попользуетесь какое-то время - понравится. Не раз такое было.

безусловно - для меня. не претендую на объективность. пробовать можно дома. в продакшене лучше пользоваться теми инструментами, которые обкатаны (в т.ч. лично тобой) годами. повсеместное шествие бинарной системы инициализации с бинарными же логами лично меня расстраивает.

И угадывать не надо. Только у нас его никто не отбирал

опять же, текстовый редактор и всякие там грепы есть почти везде. системд - нет.

Не вырезать, а просто хвост откусить.

Подозрительно же будет, разве нет? Особенно если рабочий сервер, а тут на энное количество времени логи исчезли.

Не знаю, я теоретик и админ локалхоста, всё может быть =)

а может, лучше мешать злоумышленнику получить рутовый доступ к системе? опять же, я не сталкивался со случаями ковыряния во взломанных системах. в конце концов, никто не мешает сливать логи по сети в одно место и бэкапить их оттуда на ленту, например.

Продакшену systemd пока не грозит. И долго ещё грозить не будет. Пока он не пройдёт достаточную обкатку в тех самых домашних дистрибутивах, основной системой инициализации для продакшена он точно не станет.

Обычно десктопную систему восстанавливают с родного livecd. А там должен быть systemd. Да и дистрибутивов с ним всё больше и больше.

лог можно тотально испортить, та же фигня что и подменить.

поломать лог - достаточно, причем если внесение мусора в начало файла поломает его в целом, то это эпик фейл.

А где тэг «история успеха»?

Ага, и после этого весь сервер переставят.

а). не факт, что надо будет только этот сервер переставлять

б). нет разницы с обычными логами