I log moderni vivono nel journal di systemd: journalctl -u nginx (un servizio), -f (in diretta), --since "1 hour ago", -p err (solo errori), -b (dall'ultimo boot). Occhio: su alcune distro il journal sta in RAM e sparisce al riavvio – rendilo persistente con Storage=persistent in /etc/systemd/journald.conf.
In parallelo restano i file classici in /var/log: auth.log/secure per accessi e tentativi di intrusione, syslog/messages per il sistema, dmesg per il kernel, più i log applicativi. La rotazione la gestisce logrotate.
La lezione da sysadmin: i log su un server compromesso non sono affidabili, e i log che nessuno guarda non esistono – centralizzali e mettici degli alert.