Unter systemd werden Systemmeldungen im Journal gesammelt. Je nach Systemkonfiguration können zusätzlich klassische Logdateien durch einen Syslog-Dienst geführt werden. Protokolle müssen gegen unberechtigte Einsicht und Manipulation geschützt sein; bei besonders kritischen Systemen sollten relevante Ereignisse an einen getrennten Logserver gesendet werden.

journalctl -p warning..alert --since today
journalctl -u ssh --since today
systemctl --failed
sudo dpkg --audit
sudo apt-get check

Rootkit-Scanner können Hinweise liefern, sind aber kein Nachweis für ein sauberes System. Bei einem vermuteten Einbruch sichern Sie zuerst relevante Protokolle und Beweise, trennen das System nach einem Incident-Plan bei Bedarf vom Netz und wechseln Geheimnisse von einem vertrauenswürdigen System aus. Eine vollständige Neuinstallation aus vertrauenswürdigen Medien kann sicherer sein als eine vermeintliche Reparatur eines kompromittierten Systems.