Red Hat 系統訊息記錄由 /etc/syslog.conf 控制。以下為 /var/log 關鍵日誌：
| 檔案 | 記錄內容 | 讀取指令 |
|---|---|---|
/var/log/lastlog | 每位用戶最近一次登入時間 | /usr/bin/lastlog |
/var/run/utmp | 目前登入用戶資訊 | who, users, finger |
/var/log/wtmp | 所有登入/登出記錄、關機/重開機 | last |
/var/log/secure | 遠端連線資訊與失敗嘗試 | cat, grep |
/var/log/maillog | sendmail、pop 等郵件訊息 | tail -f |
/var/log/cron | crontab 定時任務訊息 | cat |
/var/log/dmesg | 開機畫面訊息 | /bin/dmesg |
/var/log/xferlog | FTP 檔案傳輸來源與檔名 | cat |
/var/log/messages | 系統大部分重要訊息（登入、密碼檢查、su、FTP 等） | tail -f |
lastlog、utmp 資料結構定義於 /usr/include/utmpbits.h。wtmp 格式與 utmp 相同，目前僅 last 可讀；若破解格式可自寫讀取程式（常被駭客工具利用）。