统信uos中可查网络连接痕迹需依赖日志与工具：一、journalctl查networkmanager/ssh/gdm服务事件；二、/var/log/auth.log提取ssh认证ip与端口；三、last/lastb交叉验证登录ip频次；四、若有ss快照则回溯历史连接；五、lsof定位当前进程级连接。
如果您需要确认统信UOS系统中曾建立过哪些网络连接，例如排查异常外连、识别未知远程访问或审计服务端口暴露情况，则需查阅系统保留的连接活动痕迹。由于Linux内核不默认持久化记录所有TCP/UDP连接历史，实际可查内容取决于是否启用日志审计及对应服务配置。以下是多种可行路径，覆盖命令行工具回溯、认证日志关联分析及系统服务日志挖掘：
一、使用journalctl检索近期网络连接相关事件
systemd-journald默认记录由NetworkManager、sshd、gdm等服务触发的网络级操作事件，包括连接激活、DHCP获取、SSH会话建立等，时间范围通常为最近数天至数周（依日志轮转策略而定）。
1、打开终端，执行命令：sudo journalctl -u NetworkManager --since "7 days ago"，查看近7日内NetworkManager管理的所有连接启停记录。
2、筛选SSH登录引发的网络连接行为：sudo journalctl -u ssh --since "today" | grep "Connection from"，提取今日所有入站SSH连接源IP与端口。
3、检查图形登录会话对应的网络接口绑定：sudo journalctl -u gdm --since "2026-05-01" | grep "starting session"，定位指定日期后图形界面启动时所用网卡。
二、解析auth.log提取认证关联的网络连接信息
/var/log/auth.log持续记录PAM认证过程中的网络上下文，包括SSH登录的客户端IP、端口、用户名及结果状态，是追溯远程连接来源的核心日志文件。
1、执行命令：sudo grep "sshd.*@.*port" /var/log/auth.log，匹配所有含IP地址与端口号的SSH连接尝试条目。
2、仅显示成功建立连接的记录：sudo grep "Accepted password" /var/log/auth.log | tail -n 20，输出最近20条密码认证成功的连接详情。
3、结合awk提取唯一远程IP列表：sudo awk '/sshd.*@/{gsub(/.*@/,"",$0); gsub(/ port.*/,"",$0); print $0}' /var/log/auth.log | sort -u，获得所有曾成功登录的客户端IP地址。
三、通过last与lastb交叉验证登录会话的网络属性
last命令读取/var/log/wtmp，记录成功登录的终端类型与远程主机名/IP；lastb读取/var/log/btmp，专存失败认证尝试。二者结合可还原完整登录连接画像，尤其适用于SSH和远程桌面场景。
1、运行：last -i | head -n 15，显示最近15次成功登录记录，并强制将主机名解析为IP地址。
2、执行：sudo lastb -i | grep -E "(ssh|tty)" | head -n 10，提取最近10条与SSH或本地终端相关的失败登录尝试及其源IP。
3、比对同一IP在last与lastb中的出现频次：sudo last -i | awk '{print $3}' | sort | uniq -c | sort -nr | head -n 5，识别高频连接来源IP。
四、检查netstat/ss历史快照（需提前配置抓取）
系统默认不保存连接状态快照，但若已部署定时任务采集（如每5分钟执行ss -tuln > /var/log/ss-snapshot-$(date +%s)），则可通过归档文件回溯特定时刻的监听端口与活跃连接。
1、确认是否存在历史快照目录：ls -lt /var/log/ss-snapshot-*，列出所有可用的时间戳标记文件。
2、查看某次快照中的ESTABLISHED连接：grep "ESTABLISHED" /var/log/ss-snapshot-1746890000（将时间戳替换为实际文件名）。
3、统计某快照内各目标IP的连接数：awk '{print $5}' /var/log/ss-snapshot-1746890000 | cut -d: -f1 | sort | uniq -c | sort -nr | head -n 3。
五、利用lsof回溯进程级网络连接归属（限当前存活连接）
lsof可实时显示每个进程打开的socket连接，虽无法查看已终止连接的历史，但能精确识别当前活跃连接的发起进程、用户及目标地址，辅助判断异常连接源头。
1、安装lsof（如未预装）：sudo apt install lsof。
2、列出所有TCP连接及其所属进程：sudo lsof -iTCP -n -P | head -n 20，禁用域名解析与服务名映射以提升可读性。
3、筛选非系统用户的网络连接：sudo lsof -iTCP -n -P -u $(whoami) | grep -E "(ESTABLISHED|SYN_SENT)"，聚焦当前用户发起的活跃连接。
