¿Alguien entró en tu servidor?

Debian/Ubuntu: /var/log/auth.log* · RHEL/Fedora: /var/log/secure* (los .gz también valen). Si no existen, desde el journal:

journalctl --since "-7d" -o short-iso _COMM=sshd + _COMM=sudo + _COMM=useradd + _COMM=usermod > accesos.log

O todo de una vez, también los rotados y los de la web:

sudo python3 recoger_logs_linux.py

Formato combined o common de Apache y Nginx (también con el sitio delante):

/var/log/nginx/access.log*
/var/log/apache2/access.log*
/var/log/httpd/access_log*

El recolector lee los eventos de seguridad de los últimos días (solo lectura) y guarda un JSON:

powershell -ExecutionPolicy Bypass -File .\recoger_eventos_windows.ps1

Ejecútalo como administrador: sin permisos no se puede leer el registro de seguridad.