削除されたシスログを復元する方法はありますか?

Question

前提

詳しくは教えられませんが、システムのOSはFedora派生系のLinuxです。
/var/log/messagesログは日次でローテーションを実行し、バックアップは31日分保持します。

困っていること

1か月以上前に発生したトラブルについて、トラブルが発生しなかったサーバにおいて対比調査するためにトラブルが発生した時刻を含む時間帯のmessagesログを確認したいという話になりました。

しかし、トラブル発生の日から31日以上が経過しているため、当該時間帯のmessagesログは既に削除されています。

実現したいこと

ログローテーションによって削除されたmessagesログを復元する方法はございますでしょうか?
有る場合には、その方法についてご教示お願い致します。

Comments

[TaichiYanagiya]

systemd-journald が稼働している OS なら、journal の方に残っていないでしょうか。
journalctl で参照。

[Shohei_EF1993]

journalctlを実行したところ、確かに取得したい日時のログを確認することが出来ました。
ご連絡ありがとうございます。

Answer 1

ログローテーションによって削除されたmessagesログを復元する方法はございますでしょうか?
有る場合には、その方法についてご教示お願い致します。

確実な手段は存在しません。
ただし、データとしてはストレージ上に残っていて、復旧できる可能性は存在します。
（ファイル削除から日時が経過するごと、同じディスクに書き込みが発生するごとに復旧の可能性は下がります）

復旧可能性の高い順に以下の様な選択肢があります（物理的なサーバがある想定での回答です。クラウド環境等であれば、ブロックデバイスのイメージをストレージと読み替えてください）

1. ストレージをデータ復旧業者に送って復旧してもらう

HDD データ復旧あたりで検索して、評判のいい業者に送ります。とても高価ですが、市販の復旧ソフトでは対応できないケースでも対応出来ることがあります
2. Linux データ復元あたりで調べて出てくるツールで復旧を試みる。extundeleteあたりが有名でしょうか。

どちらの場合でも、これ以上復旧可能性が減る前にストレージを抜き出すか、リードオンリーな状態にしてから取り組むことをお勧めします。

Comments

[Shohei_EF1993]

ご回答ありがとうございます。
ご回答頂いた内容にて復旧を検討させていただきます。
今後ともよろしくお願いします。

[tanat]

はい。
上手くいったら結果のコメントを頂けると嬉しいです。