Veja o que um usuário fez com data / hora?

Question

Eu estou tentando ver o que um usuário linux específico do meu sistema fez, e eu olhei para o bash_history, mas ele não tem datas.

Existe algum método que eu possa ver que me daria datas / hora?

    

Answer 1

Pelo que sei, há (por padrão) nenhum log definido que associe data / hora a cada comando iniciado por um usuário.

No entanto, você pode tentar adivinhar as ações que um usuário executou calculando as informações do comando last (que fornecerá as datas e a hora em que os usuários efetuaram login no sistema) com os registros que você encontrará em /var/log como syslog.

Com chance, o comando emitiu alguma saída de log em um dos diferentes logs disponíveis.

Além disso, você pode verificar as datas e a hora da criação / modificação de arquivos que você suspeita terem sido afetados pelos comandos que você viu no bash_history, isso poderia lhe dar mais algumas dicas sobre o que aconteceu.

    

Answer 2

Isso não atualizará passivamente o arquivo .bash_history, mas tornará essa tarefa mais fácil no futuro.

Os registros de data e hora do histórico podem ser feitos exportando uma variável chamada HISTTIMEFORMAT que você configuraria para o formato que gostaria que o registro de data e hora fosse exibido usando a formatação strftime encontrada executando o comando man strftime ou aqui

Exemplo:

export HISTTIMEFORMAT="%F %T: "

Sugiro colocar isso em ~ / .bashrc