systemd Journal
| Format | systemd Journal |
|---|---|
| Kurzname | journal |
| Kategorie | Log |
| Plattformen | Linux |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Das binäre Log von systemd-journald, persistent unter /var/log/journal/<machine-id>/ oder flüchtig unter /run/log/journal/ gespeichert (geht beim Neustart verloren). Einträge bestehen aus Key-Value-Feldern (MESSAGE, _PID, _UID, _COMM, _BOOT_ID, …) mit Realtime- und Monotonic-Zeitstempeln; Felddaten können XZ-, LZ4- oder ZSTD-komprimiert sein. Ist Forward Secure Sealing aktiviert, werden in regelmäßigen Abständen Tag-Objekte mit einem SHA-256-HMAC angehängt, mit denen sich Manipulationen später erkennen lassen. Der Header-Status kennzeichnet Dateien als offline, online (zum Schreiben geöffnet, z. B. nicht sauber geschlossen) oder archived; rotierte Dateien behalten ältere Einträge, und Dateien, die als beschädigt oder nicht sauber erkannt werden, werden mit dem Suffix '~' umbenannt.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 4C 50 4B 53 48 48 52 48 | LPKSHHRH | Signatur 'LPKSHHRH' |
Bekannte Dateiendungen
.journal, .journal~
Referenzen
- Journal File Format (systemd) https://systemd.io/JOURNAL_FILE_FORMAT/
- Systemd journal file format (libyal/dtformats) https://github.com/libyal/dtformats/blob/main/documentation/Systemd%20journal%20file%20format.asciidoc
Diesen Eintrag zitieren
Crush-Format-Referenz, „systemd Journal“. https://kalink0.github.io/crush-forensics/formats/de/journal/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden