Reconstituer une chronologie avec les journaux

Une chronologie est la liste des événements d’une enquête, classés par heure. En réunissant les journaux de plusieurs machines, on voit ce qui est arrivé en premier, donc ce qui a pu causer le reste.

Le soir d’une panne, le serveur d’une association à Rennes a redémarré. Un seul journal ne dit pas pourquoi. Deux journaux classés ensemble le disent.

Presque tous les journaux notent l’horodatage en premier. Mais chaque programme écrit l’heure à sa façon : avec ou sans l’année, avec un mois en lettres ou en chiffres.

Avant de classer, on repère le format. Le dossier du labo contient deux journaux : vous allez compter leurs lignes et lire le jour qu’ils couvrent.

wc -l case/var/log/auth.log

wc -l case/var/log/nginx/access.log

cut -c1-6 case/var/log/auth.log | sort -u

Chaque machine a sa propre horloge. Elle peut être réglée dans un autre fuseau horaire, ou simplement en avance de quelques minutes : c’est un décalage d’horloge.

On le mesure grâce à un événement visible dans les deux journaux. Puis on corrige toutes les heures de l’un avant de les mêler à l’autre.

Si les deux journaux utilisent le même format d’heure, la commande sort les classe d’un coup. Elle compare les lignes de gauche à droite, donc l’heure compte en premier.

Vous allez trier deux lignes données dans le désordre, comme si elles venaient de deux machines.

printf '2026-03-12 08:15:40 pare-feu bloque\n2026-03-12 08:14:02 serveur connexion\n' | sort

Classer ne suffit pas. La corrélation relie des lignes de journaux différents qui parlent de la même chose : même compte, même adresse, même fichier.

Une chronologie utile garde pour chaque ligne l’heure, la source et ce qui s’est passé. Le premier événement de la liste est souvent le plus important.