بررسی فایل‌های Log حذف‌شده یا دستکاری‌شده در Linux و Windows

مقدمه

لاگ‌ها یکی از مهم‌ترین منابع برای بررسی رخدادهای امنیتی، Troubleshooting و تحلیل Incident هستند.

در زمان وقوع یک حادثه امنیتی، اولین منابعی که معمولاً بررسی می‌شوند شامل:

Authentication Logs
System Logs
Application Logs
Security Events
Audit Logs

هستند.

اما یکی از تکنیک‌هایی که مهاجمان پس از دسترسی به سیستم ممکن است انجام دهند، حذف یا دستکاری Logها برای پنهان کردن فعالیت‌های خود است.

برای مثال:

حذف Loginهای SSH
پاک کردن Windows Security Event Log
تغییر Timestamp فایل‌ها
حذف Logهای Application
پاک کردن History دستورات
تغییر Permission فایل‌های Log

به همین دلیل بررسی وضعیت Logها و پیدا کردن نشانه‌های Tampering یکی از مراحل مهم در Incident Response محسوب می‌شود.

در این مقاله بررسی می‌کنیم:

Logها در Linux و Windows کجا قرار دارند.
چگونه حذف شدن یا تغییر آنها را شناسایی کنیم.
چگونه Integrity فایل‌های Log را بررسی کنیم.
چگونه Event Logهای Windows را تحلیل کنیم.
چگونه از Audit برای جلوگیری از دستکاری استفاده کنیم.

چرا مهاجم Logها را حذف می‌کند؟

هدف اصلی حذف Log:

Hide Activity

است.

برای مثال مهاجم بعد از Login غیرمجاز ممکن است:

Attacker Login
        |
        v
Execute Commands
        |
        v
Delete Logs
        |
        v
Remove Evidence

را انجام دهد.

با حذف Log، بررسی موارد زیر دشوارتر می‌شود:

زمان ورود مهاجم
Source IP
دستورات اجراشده
فایل‌های تغییرکرده
Persistence Mechanism

نشانه‌های عمومی دستکاری Log

برخی نشانه‌های رایج:

نبودن فایل Log مهم
خالی شدن ناگهانی Log
فاصله زمانی غیرعادی در Timestampها
تغییر Owner یا Permission
Restart شدن سرویس Logging بدون دلیل
پاک شدن Windows Event Log
وجود Commandهای پاک‌سازی Log در History
تغییر حجم غیرعادی فایل Log

بررسی Logهای Linux

در Linux محل Logها به Distribution و سرویس‌های فعال بستگی دارد.

مسیرهای رایج:

/var/log/
/var/log/auth.log
/var/log/secure
/var/log/syslog
/var/log/messages
/var/log/journal/

بررسی:

ls -lah /var/log/

نمونه:

-rw------- auth.log
-rw------- secure
-rw------- syslog

بررسی حذف شدن فایل Log

ابتدا لیست فایل‌های Log را بررسی کنید:

find /var/log -type f

اگر فایل مهمی مانند:

auth.log
secure
messages

وجود ندارد، باید بررسی شود که:

حذف شده است.
مسیر تغییر کرده است.
سرویس Logging مشکل دارد.

بررسی زمان تغییر فایل Log

دستور:

stat /var/log/auth.log

خروجی نمونه:

Access:
2026-09-26 10:20

Modify:
2026-09-26 10:20

Change:
2026-09-26 10:20

Timestampها را با Timeline Incident مقایسه کنید.

مثلاً:

SSH Login:
10:18

Log Modification:
10:19

این تغییر می‌تواند نیاز به بررسی بیشتر داشته باشد.

بررسی حجم غیرعادی Log

یک روش ساده:

ls -lh /var/log/

مثلاً:

حالت عادی:

auth.log 250MB

اما:

auth.log 2KB

بعد از یک Incident ممکن است نشانه حذف یا Rotate غیرعادی باشد.

بررسی Log Rotation

Linux معمولاً Logها را Rotate می‌کند.

بررسی:

ls -lah /var/log/auth.log*

نمونه:

auth.log
auth.log.1
auth.log.2.gz

وجود فایل‌های قدیمی طبیعی است.

اما اگر همه فایل‌های قدیمی حذف شده باشند، باید بررسی شود.

بررسی Journal در Linux

سیستم‌های جدید از:

systemd-journald

استفاده می‌کنند.

بررسی:

journalctl

نمایش آخرین رخدادها:

journalctl -n 100

بررسی سلامت Journal

دستور:

journalctl --verify

نمونه خروجی:

PASS: /var/log/journal/...

یا:

File corrupted or untrusted

خطای دوم می‌تواند نشان‌دهنده:

Corruption
تغییر فایل
مشکل Storage

باشد.

بررسی زمان‌های خالی در Journal

برای مشاهده Timeline:

journalctl --list-boots

نمونه:

0 boot ...
-1 boot ...
-2 boot ...

اگر Boot قدیمی یا بازه زمانی خاصی وجود ندارد، باید بررسی شود.

بررسی تغییرات فایل با AIDE

یکی از روش‌های بررسی Integrity استفاده از:

AIDE

است.

نصب:

Ubuntu:

apt install aide

AlmaLinux:

dnf install aide

ساخت Database:

aide --init

بررسی:

aide --check

AIDE تغییرات:

محتوا
Permission
Owner
Hash

را بررسی می‌کند.

بررسی تغییرات با Auditd

Auditd می‌تواند تغییر روی فایل‌های حساس را ثبت کند.

نصب:

apt install auditd

ایجاد Rule:

auditctl -w /var/log/auth.log -p wa

پارامترها:

w = Write
a = Attribute Change

بررسی:

ausearch -f /var/log/auth.log

بررسی Commandهای پاک کردن Log

برخی Commandهای رایج برای حذف Log:

rm /var/log/auth.log

یا:

echo "" > /var/log/auth.log

یا:

truncate -s 0 /var/log/auth.log

برای بررسی History:

cat ~/.bash_history

اما توجه کنید History قابل حذف یا تغییر است.

بررسی Processهای مرتبط با Log

سرویس‌های Logging:

systemctl status rsyslog

و:

systemctl status systemd-journald

بررسی کنید.

وضعیت:

systemctl is-active rsyslog

بررسی Linux Audit Log

Audit معمولاً در:

/var/log/audit/audit.log

قرار دارد.

بررسی:

ls -lah /var/log/audit/

مشاهده:

ausearch -ts today

بررسی Logهای Windows

در Windows، مهم‌ترین Logها در:

Event Viewer

قرار دارند.

مسیر:

Event Viewer

Windows Logs
 |
 + Application
 + Security
 + System
 + Setup

بررسی پاک شدن Windows Event Log

Windows برای پاک شدن Logها Event ثبت می‌کند.

مهم‌ترین Event:

است.

عنوان:

The audit log was cleared

این Event نشان می‌دهد Security Audit Log پاک شده است.

مشاهده Event ID 1102

PowerShell:

Get-WinEvent -FilterHashtable @{
    LogName="Security"
    Id=1102
}

اطلاعات مهم:

SubjectUserName
SubjectDomainName
TimeCreated

مشخص می‌کند چه Accountای Log را پاک کرده است.

بررسی Windows Event Log با PowerShell

مشاهده Security Log:

Get-WinEvent -LogName Security -MaxEvents 50

لیست Logها:

Get-WinEvent -ListLog *

بررسی حجم Event Log

PowerShell:

Get-WinEvent -ListLog Security

اطلاعات:

MaximumSizeInBytes
RecordCount

بررسی تغییرات Event Log

سرویس Event Log:

Get-Service EventLog

باید:

Running

باشد.

بررسی پاک شدن Log با wevtutil

مشاهده Logها:

wevtutil el

پاک کردن Log:

wevtutil cl Security

این Command باید در Investigation بررسی شود.

بررسی Eventهای مهم Windows

پاک شدن Audit Log

پاک شدن System Log

تغییر تنظیمات Audit

ایجاد Process

Login موفق

Login ناموفق

بررسی Audit Policy ویندوز

مشاهده:

auditpol /get /category:*

بررسی:

Audit Logon
Audit Process Creation
Audit File System

اگر Audit ناگهان Disable شده باشد، باید بررسی شود.

بررسی File Integrity در Windows

ابزارهای داخلی:

System File Checker

sfc /scannow

برای بررسی فایل‌های سیستمی.

DISM

DISM /Online /Cleanup-Image /CheckHealth

بررسی تغییرات فایل با PowerShell

مثلاً فایل‌های تغییرکرده:

Get-ChildItem C:\Windows\System32\winevt\Logs |
Select Name,LastWriteTime

مسیر Event Logها:

C:\Windows\System32\winevt\Logs

بررسی Hash فایل Log

PowerShell:

Get-FileHash C:\Windows\System32\winevt\Logs\Security.evtx

ثبت Hash به‌صورت دوره‌ای می‌تواند تغییرات غیرمجاز را مشخص کند.

بررسی Shadow Copy

گاهی مهاجم Logها را حذف می‌کند اما نسخه قبلی در Backup یا Shadow Copy وجود دارد.

بررسی:

vssadmin list shadows

بررسی Timeline در Incident Response

برای تحلیل باید Timeline بسازیم:

مثال:

10:15
SSH Login

10:18
Command Execution

10:20
Log Modified

10:21
Service Restart

ابزارهای کمکی:

Plaso
Timesketch
Velociraptor
Autopsy

بررسی حذف Log در Linux و Windows با SIEM

در محیط‌های سازمانی بهتر است Logها فقط روی همان سیستم نگهداری نشوند.

ارسال به:

SIEM
Wazuh
Splunk
ELK
Graylog

باعث می‌شود حتی در صورت حذف Local Log، نسخه مرکزی باقی بماند.

Workflow عملی بررسی Log Tampering

Linux