用途：对 Linux 系统日志开展取证调查，重建用户会话、识别未授权访问、检测权限提升、追踪横向移动并建立事件时间线。
主要能力：分析认证日志（auth.log/secure 中的 SSH 登录、sudo、PAM、账户创建）、系统日志（syslog/messages）、内核日志（kern.log）、二进制登录记录（lastlog、wtmp、btmp、faillog）、cron 任务、auditd 审计日志（ausearch/aureport）以及 systemd 二进制日志（journalctl）。可检测暴力破解（同一 IP 失败次数超阈值）、SSH 密钥认证、sudo 命令执行等。
使用方式：日志多位于 /var/log/，systemd 日志位于 /var/log/journal/ 或 /run/log/journal/。常用命令包括 grep "Accepted" /var/log/auth.log、journalctl --output=json --no-pager、ausearch -m USER_AUTH --start today、aureport --login 等。资料提供 Python 3.8+ 解析脚本 LinuxLogForensicAnalyzer，用法为 python process.py <auth_log_path> <output_dir>，输出 linux_log_forensics.json 报告。
适用场景：安全评估、事件响应、计划性安全测试与审计、通过实操验证安全控制。
限制：需具备数字取证基础，需测试或实验环境及相应授权；部分日志为二进制需专用工具读取；具体收费、平台与效果资料暂未提供。