谁动了我的服务器？三招揪出关机元凶，揪出服务器关机元凶，三招轻松应对
周一晨会前，公司官网突然瘫痪——数据库服务器半夜被关机，2000笔订单卡在半路！ 运维老王顶着黑眼圈翻遍监控，屏幕上只闪过22:47:03的断电画面。别慌，今天教你用操作系统日志+硬件日志+用户审计三重锁凶术，让关机黑手无所遁形！（某电商靠这招三天内追回百万损失）
一、第一现场：操作系统日志（90%关机记录藏这里）
你肯定遇到过：服务器莫名关机，登录后却一脸懵？先查系统日志这个"监控录像"！
▷ Windows服务器：事件查看器破案
- Win+R输入
eventvwr.msc打开事件查看器 - 左侧选 Windows日志 → 系统
- 右击 筛选当前日志，输入事件ID：
- 1074：用户主动关机（显示操作者账号！）
- 6006：正常关机
- 6008：异常断电（突然停电必现）
血泪案例：某公司财务服务器异常关机，筛选出ID 6008——竟是保洁误拔UPS电源！
▷ Linux服务器：终端命令追踪
bash复制# 查看最近关机记录（带用户/IP）last -x | grep shutdown# 深挖关机原因（/var/log/messages藏真相）grep "shutdown" /var/log/messages
▶️ 避坑重点：若日志被清空？立即查 ~/.bash_history 看谁执行过 rm /var/log/*
二、第二线索：硬件层日志（电源/主板不会说谎）
当系统日志离奇消失，直接找硬件"法医"验尸：
| 日志类型 | 获取方式 | 关机关键证据 |
|---|---|---|
| BIOS日志 | 重启按F2/Del进BIOS → System Logs | 异常断电时间戳 |
| iLO/iDRAC | 浏览器输入管理IP → 事件日志 | 远程关机者IP |
| 电源日志 | 查UPS管理软件 | 市电中断持续时间 |
真实翻车：某游戏服务器半夜关机，iDRAC日志显示22:46:55收到关机指令——竟是对手公司IP！
三、第三重锁：用户操作审计（锁定嫌疑人）
知道关机时间还不够？ 三招锁定操作者：
▷ 招数1：SSH登录溯源
bash复制# 查关机前登录者（Linux神命令）last -i | grep "still logged in"
输出示例：admin pts/0 192.168.1.23 Fri Jun 6 22:45 still logged in
▷ 招数2：远程桌面追踪
- Win服务器：事件ID 4624（登录成功）
- 配合1074关机事件时间戳 → 锁定关机前登录账号
▷ 招数3：sudo命令监控
bash复制# 在/etc/sudoers文件添加：Defaults logfile=/var/log/sudo.log# 关机命令将被记录：grep "shutdown" /var/log/sudo.log
十年运维老鸟拍桌怒吼：
见过最骚操作——黑客用shutdown -h伪装成系统故障！三条铁律焊 *** ：
✅ BIOS日志定期导出 ✅ sudo操作全记录 ✅ 关键服务器装摄像头暴论时间：
2025年还不会查关机日志？等着背锅吧！但记住真理：80%的"服务器故障"是人祸！独家数据：开启三重审计的企业，责任追溯效率提升300%——下次老板甩锅时，直接把证据拍他桌上！
来源依据：
Windows事件ID解析
Linux关机日志追踪
硬件管理日志调取
用户操作审计方案