Analisi dei Log Linux per SOC Analyst: Cacciare le Minacce tra /var/log e Auditd

Se i sistemi Windows dominano le postazioni di lavoro, l'infrastruttura server e cloud del mondo aziendale gira prevalentemente su Linux. Per un SOC Analyst, conoscere l'architettura dei log Linux è quindi una competenza imprescindibile. Ho appena completato il modulo "Linux Logging for SOC" su TryHackMe, focalizzato sulle tecniche di monitoraggio difensivo nei sistemi Open Source. Durante il laboratorio ho approfondito la struttura dei file all'interno di /var/log, l'analisi delle autenticazioni tramite auth.log, e l'utilizzo di strumenti chiave come journalctl e auditd per tracciare comportamenti anomali (come tentativi di brute-force SSH o modifiche non autorizzate ai privilegi di sistema). Trovate la sintesi dei miei appunti e comandi nel repository GitHub dedicato.