Einführung & Motivation
Im täglichen Serverbetrieb stoßen Systemadministratoren regelmäßig auf archivierte Logdateien im bzip2-Format (.bz2). Das wiederholte Dekomprimieren großer Archive zur Fehlerdiagnose vergeudet jedoch wertvolle Systemressourcen wie Festplattenspeicher und I/O-Bandbreite. Abhilfe schafft das Linux-Bordwerkzeug bzmore, mit dem sich komprimierte Textdateien und Konfigurationen unmittelbar im Terminal seitenweise durchblättern lassen. Im Folgenden demonstrieren wir den praktischen Einsatz sowie typische Arbeitsabläufe für die forensische Protokollanalyse.
Paketüberprüfung und Vorbereitung der Testumgebung
Zur Vorbereitung aktualisieren wir zunächst den Paketindex und stellen sicher, dass die bzip2-Werkzeuge auf dem System einsatzbereit sind.
Um realistische Logdaten zu simulieren, schreiben wir mittels echo einige beispielhafte Meldungen in eine Datei namens service.log.
Damit das Ursprungsdokument bei der Komprimierung nicht vom System entfernt wird, übergeben wir den Parameter -k an den Befehl bzip2 -k service.log.
Mittels ls -lh service.log* lassen sich anschließend die Unterschiede in Dateigröße und Format direkt miteinander vergleichen.
Schnelle Dateivorschau mit bzmore ohne Dekomprimierung
Vor dem Einlesen kontrollieren wir den Status des Archivs mit ls -l service.log.bz2.
Die Stärke von bzmore liegt darin, komprimierte Textinhalte on-the-fly im Arbeitsspeicher zu dekomprimieren, ohne temporäre Zwischendateien auf dem Datenträger abzulegen.
Der Aufruf bzmore service.log.bz2 gibt den Dateinamen als Kopfzeile aus und rendert den unkomprimierten Text unmittelbar im Konsolenfenster.
Paging und Tastaturnavigation in umfangreichen Protokollen
Bei langen Protokolldateien übersteigt der Text schnell die sichtbare Terminalhöhe. Wir simulieren diesen Fall anhand von 120 Logzeilen über den Befehl seq 1 120 | sed 's/^/2026-10-15 [EventLog] Process ID #/' > large_events.log && bzip2 -f large_events.log.
Wird bzmore large_events.log.bz2 ausgeführt, teilt das Programm den Datenstrom in handliche Bildschirmseiten auf.
Die Steuerung folgt den gewohnten Konventionen des more-Pagers: Ein Druck auf die Leertaste blättert eine Seite weiter, die Eingabetaste rückt um eine Zeile nach unten vor, und über q wird die Textansicht sofort beendet.
Mehrere bz2-Archive verketten und Abgrenzung zu bzless
Für Prüfungen über mehrere Logdateien hinweg erzeugen wir zwei getrennte Archive mit echo 'Node A: Status Healthy' > node_a.log && echo 'Node B: Status Degraded' > node_b.log && bzip2 -f node_a.log node_b.log.
Mit bzmore node_a.log.bz2 node_b.log.bz2 lassen sich mehrere Archive nacheinander öffnen.
Sobald das Ende der ersten Datei erreicht ist, weist der Hinweis --More--(Next file: node_b.log.bz2) auf das Folgearchiv hin, welches durch Bestätigung mit der Leertaste geladen wird.
Wichtig für die Praxis: Da bzmore rein sequentiell arbeitet und kein Zurückblättern unterstützt, empfiehlt sich bei komplexen Analysen mit Rückwärtssuche das funktionsreichere Werkzeug bzless.
Mit dem Befehl bzmore steht Linux-Anwendern ein schlankes Hilfsmittel zur Verfügung, um bzip2-Archive ressourcenschonend und ohne vorheriges Entpacken zu inspizieren.