O comando last pode mostrar poucas linhas de informações de login do usuário, truncadas por quando o "wtmp começa".
Se eu quiser obter o máximo possível de last info (por exemplo, para ver se meu sistema foi acessado de qualquer IP desconhecido / suspeito usando meu nome de usuário), como posso gerar as informações mais antigas "últimas"?
Se eu usar last -2000 , com a intenção de ver 2000 linhas de saída, mas o comando pode retornar apenas algumas linhas, qualquer coisa que acontecesse antes do início do "wtmp" seria truncada.
Estou apenas imaginando se é possível gerar quantas linhas de informações de login forem possíveis.
O comando last usa o arquivo binário /var/log/wtmp para mostrar uma listagem dos últimos usuários conectados.
Mas /var/log/wtmp é um arquivo girado no qual as entradas antigas são arquivadas em /var/log/wtmp.x , em que x é um dígito [0-9] .
Então, se você precisar olhar mais fundo no histórico de login, tente abrir um desses arquivos:
last -2000 -f /var/log/wtmp.1 | less
O last -2000 -f /var/log/wtmp.1 | less parece funcionar, mas não pode voltar atrás. Nem mesmo com o CTRL-C.
Tem certeza de que faz [0-9] Eu olhei em 2 servidores que estão ativos há anos e eles só mostram mais um arquivo a wtmp.1
Existe alguma maneira de dizer para fazer até 0,9? Seria bom ter mais histórico de log in.
O /var/log/auth.log mostra que eu acabei de falhar no login e nos IPs. Por isso, é bom ver uma lista de nenhum log de falha.
Dia de Raymond
Registra-se
/var/log/wtmp.1
são restritos.
O Ubuntu 16 e provavelmente 17 têm mecanismo para excluir logs com mais de um mês. Para configurar esse comportamento, você deve editar:
/etc/logrotate.conf
Mais informações:
Tags command-line