Контроль журналов аутентификации в Ubuntu

Журналы аутентификации содержат информацию о том, какой пользователь и когда пытался войти в операционную систему. В этих файлах также могут храниться данные об успешности входа или ошибках, которые при этом возникли. Мониторинг журналов аутентификации позволяет выявлять потенциальные угрозы безопасности ОС.

В этой статье мы расскажем о трех способах отслеживания журналов аутентификации в ОС Ubuntu Linux.

Содержание:

1. Просмотр файла /var/log/auth.log
2. Использование утилиты last
3. Использование утилиты lastlog
4. Выводы

Просмотр файла /var/log/auth.log

В Linux есть несколько системных файлов, в которые записывается информация о входах пользователей в ОС. Одним из них является /var/log/auth.log. В этом документе находится следующая информация о каждом входе:

• дата и время;
• имя хоста и IP-адрес;
• имя пользователя;
• метод аутентификации;
• индикаторы успешности (или неуспешности) входа;
• различные типы событий, произошедших при входе;
• сообщения PAM (Pluggable Authentication Module);
• информация о демоне SSH (при подключении к ОС по SSH).

Чтобы просмотреть содержимое этого файла, можно использовать различные текстовые редакторы (nano, vim) и утилиты (cat, less, more):

sudo cat /var/log/auth.log

Использование утилиты last

Утилита last отображает список пользователей, вошедших и вышедших из ОС за все время ее использования. Кроме этого, инструмент также выводит информацию о терминале, дате и времени входа, продолжительности сеанса работы ОС. Чтобы использовать эту утилиту, просто выполните в терминале одноименную команду last:

last

Читайте также: 30 команд Linux для системных администраторов.

Важно: эта утилита берет информацию из системного файла /var/log/wtmp.

Использование утилиты lastlog

Утилита lastlog используется для отображения информации о времени последнего входа каждого зарегистрированного пользователя в ОС Linux. При выполнении она выводит на экран таблицу со следующими столбцами:

1. Username — имя пользователя.
2. Port и From — терминал и порт входа.
3. Latest — дата и время последнего входа.

Важно: если пользователь никогда не входил в ОС, в колонке Latest будет отображено сообщение **Never logged in**.

Для запуска утилиты выполните в терминале следующую команду:

lastlog

Выводы

Утилиты last, lastlog и содержимое файла /var/log/auth.log помогают узнать, кто и когда входил в операционную систему. Регулярные проверки журналов аутентификации позволяют выявлять любые необычные или несанкционированные действия для обеспечения безопасности и надежности ОС Ubuntu Linux.

Спасибо за время, уделенное прочтению статьи!

Если возникли вопросы — задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco, курсы по кибербезопасности, полный курс по кибербезопасности, курсы DevNet / DevOps (программируемые системы) от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University (Университет СЭДИКОММ).