Quando uma máquina é invadida, a primeira coisa que o invasor vai querer fazer é não deixar vestígios de que esteve lá e não permitir que ninguém perceba a sua presença.

Para isso, ele irá modificar os logs do sistema para remover qualquer evidência de sua invasão. Para melhorar a confiabilidade dos arquivos de log aconselha-se o uso de um servidor que apenas coleta os logs das máquinas da rede. Desta maneira, mesmo que o invasor viole seu sistema primário (servidor de web por exemplo), ainda vai ter um outro conjunto de logs que não foram alterados.

Nada impede que ele também viole o servidor de logs, mas isto irá dificultar a vida dele. :)