Linux Logging for SOC — THM Writeup

Overview — Linux Logging for SOC is an Easy TryHackMe room focused on Linux log investigation from a SOC analyst's perspective. It walks through the plain-text logs under /var/log (syslog, authentication, packages, command history) and runtime monitoring with auditd, teaching you to spot suspicious logins, user creation, malicious downloads and network scans.

Platform	TryHackMe
Category	Blue Team & SOC
Difficulty	Easy
Room	Linux Logging for SOC

Task 1 — Introduction

Linux is everywhere: traditional servers, cloud-native containers and workstations. For a SOC analyst, mastering Linux log investigation is key to detecting compromises and suspicious activity. The room targets headless servers, where logs live as plain text under /var/log.

After accessing the VM, we assume the root role so we can read every log:

sudo su

Resumen — Linux Logging for SOC es un room Easy de TryHackMe centrado en la investigación de logs de Linux desde la perspectiva de un analista SOC. Recorre los registros de texto plano de /var/log (syslog, autenticación, paquetes, historial de comandos) y el monitoreo en tiempo de ejecución con auditd, enseñando a detectar inicios de sesión sospechosos, creación de usuarios, descargas maliciosas y escaneos de red.

Plataforma	TryHackMe
Categoría	Blue Team & SOC
Dificultad	Easy
Room	Linux Logging for SOC

Task 1 — Introducción

Linux está en todas partes: servidores tradicionales, contenedores cloud-native y estaciones de trabajo. Para un analista SOC, dominar la investigación de logs de Linux es clave para detectar compromisos y actividad sospechosa. El room se centra en servidores sin interfaz gráfica, donde los logs viven en texto plano dentro de /var/log.

Tras acceder a la VM, asumimos el rol de root para poder leer todos los registros:

sudo su

🔒 Free account required

This is USER ACCESS content — free to unlock, no payment. The rest of the write-up (and everything else at this level) opens up once you're signed in.

Create a free account