Debianヤラレちった

Debianの開発用サーバーで不正侵入を検知，サービス提供を一時停止 | 日経 xTECH（クロステック）
日本語のニュースが出たね。しかし、どういう「痕跡」を見つけたんだろう？どこかのログに何かが残っていたとか、そういう話なのかなあ？
今日までまさにその「痕跡」をどうやって残させるか、それをどう見つけて解析するか、みたいな講座をやってたんだけど、この手の事例って極端に少ないだけにすんごく気になったりするなあ。