Scope
This original IROSG guide covers جمع‌آوری و تحلیل logهای Linux با systemd-journald و rsyslog using the cited primary documentation.
Core model
journald logهای structured را از kernel، service و application جمع می‌کند و metadataهایی مثل unit، PID و boot را کنار پیام نگه می‌دارد. rsyslog می‌تواند آن‌ها را forward، filter و در مقصد مرکزی ذخیره کند.
Practical workflow
Clock synchronization، persistent journal، retention و forwarding را صریح تنظیم کنید. در incident از boot ID و unit برای کوچک‌کردن دامنه استفاده کنید و log rotation را طوری تنظیم کنید که evidence قبل از تحلیل حذف نشود.
Failure modes
grep کردن یک فایل بدون فهم source و timestamp می‌تواند timeline ناقص بسازد. ذخیرهٔ نامحدود journal disk را پر می‌کند و forwarding بدون TLS/queue مناسب ممکن است هنگام outage log از دست بدهد.
Lab
یک service آزمایشی چند log با severity متفاوت تولید کند، restart شود و یک خطای controlled بسازد. journalctl را با boot/unit/time filter اجرا و همان رویداد را در مقصد rsyslog مقایسه کنید.
Production method
Capture a baseline, change one variable at a time, test positive and negative paths, preserve evidence, and rehearse rollback before broad rollout.
