మెషిన్‌లోకి ఎవరు లాగిన్ అయ్యారు: లాగిన్ లాగ్‌లు

ఏ మెషీన్‌లోకి లాగిన్ అయినా ఒక జాడను వదిలివేస్తుంది. ఆ జాడలను ఐదు నిమిషాల్లో చదవగలగడమే ప్రశాంతమైన ఇన్సిడెంట్ రివ్యూ మరియు ఊహాగానాల మధ్య తేడాను నిర్ణయిస్తుంది.

త్వరిత అవలోకనం

last -a -n 20
lastb -a -n 20
lastlog
who
w

last విజయవంతమైన లాగిన్‌లను అడ్రస్‌లతో చూపిస్తుంది, lastb — విఫలమైన ప్రయత్నాలను, lastlog — ప్రతి యూజర్ చివరిగా ఎప్పుడు లాగిన్ అయ్యారో చూపిస్తుంది. who మరియు w ఇప్పుడు ఎవరు మెషీన్‌లో ఉన్నారో చూపిస్తాయి.

www-data వంటి సిస్టమ్ యూజర్‌కు lastlog లాగిన్ తేదీని చూపిస్తే, అది దర్యాప్తు చేయాల్సిన తీవ్రమైన కారణం.

systemd journal

journalctl -u ssh -n 100
journalctl -u ssh --since "2026-08-20" --until "2026-08-21"
journalctl _COMM=sshd | grep "Accepted"
journalctl _COMM=sshd | grep "Failed password" | tail -50

ముఖ్యమైన లైన్లు:

Debian మరియు Ubuntuలో, అదే ఈవెంట్‌లు /var/log/auth.logలో నకిలీ అవుతాయి; AlmaLinuxలో, /var/log/secureలో.

grep "Accepted" /var/log/auth.log
grep -c "Failed password" /var/log/auth.log

పబ్లిక్ అడ్రస్‌పై రోజుకు వందలాది విఫలమైన ప్రయత్నాలు సాధారణం. అసాధారణమైనది వేరే: మీకు తెలియని అడ్రస్ నుండి విజయవంతమైన లాగిన్. శబ్దానికి వ్యతిరేకంగా fail2ban సహాయపడుతుంది.

లాగిన్ తర్వాత ఏమి చేయబడింది

journalctl -t sudo -n 100
grep sudo /var/log/auth.log
cat /home/artem/.bash_history

కమాండ్ హిస్టరీ నమ్మదగినది కాదు: దాన్ని సులభంగా క్లియర్ చేయవచ్చు, మరియు నాన్-ఇంటరాక్టివ్ సెషన్‌లలో అది రికార్డ్ చేయబడదు. sudo లాగ్ చాలా నిజాయితీగా ఉంటుంది — దాన్ని షెల్ కాదు, సిస్టమ్ నిర్వహిస్తుంది. users and sudo అనే ఆర్టికల్‌లో వివరించిన "సాధారణ యూజర్ ప్లస్ sudo" పద్ధతికి ఇది మరో వాదన.

పూర్తి కెర్నల్-స్థాయి ఆడిటింగ్:

apt install -y auditd
auditctl -w /etc/passwd -p wa -k passwd_changes
ausearch -k passwd_changes

నిల్వ

డిఫాల్ట్‌గా, systemd journal మెమరీలో ఉండి రీబూట్‌లో పోవచ్చు. అది ఇన్సిడెంట్ రివ్యూకు చెడు. /etc/systemd/journald.conf ఫైల్:

[Journal]
Storage=persistent
SystemMaxUse=500M
MaxRetentionSec=1month

systemctl restart systemd-journald
journalctl --disk-usage

పరిమాణ పరిమితి తప్పనిసరి: డిస్క్‌ను తినేసిన journal సర్వీసులను ఆపేస్తుంది.

సాధారణ తప్పులు

మరొకరి అడ్రస్ నుండి విజయవంతమైన లాగిన్ కనుగొంటే, మెషీన్‌లోని లాగ్‌లను నమ్మదగినవిగా పరిగణించలేరు: లాగిన్ అయిన వ్యక్తి వాటిని ఎడిట్ చేసి ఉండవచ్చు. signs of compromise అనే ఆర్టికల్‌ను అనుసరించండి మరియు మెషీన్‌ను తిరిగి ఇన్‌స్టాల్ చేయాల్సి ఉంటుందని భావించండి.