Una importante línea de protección contra violaciones de datos y otras vulnerabilidades dentro de su sistema es la supervisión. La gestión de autenticación supervisa el sistema después de configurar los usuarios.
Puede encontrar todos los intentos de autenticación en un archivo discreto en /var/log/auth.log .
Por ejemplo:
sudo less /var/log/auth.log
Los resultados se verían así:
Feb 18 09:19:07 myserver sshd[4792]: pam_unix(sshd:auth): authentication failure;
Feb 18 09:19:09 myserver sshd[4792]: Failed password for x
Feb 18 12:21:32 myserver su[3484]: pam_unix(su:session): session open
Feb 18 09:19:12 myserver sshd[4792]: Failed password for x from 20.20.20.20 port 2158 ssh2
last comando
Cuando se trata de revisar los intentos de inicio de sesión, puede revisar el más reciente usando el last comando.
El last El comando proporciona cómo y cuándo iniciaron y cerraron sesión.
last
Los resultados se verían así:
var pts/1 192.168.1.0 Thu Feb 18 16:22 still logged in
root pts/1 192.168.1.0 Thu Feb 18 19:37 - 19:37 (00:00)
root pts/0 192.168.1.0 Thu Feb 18 19:55 still logged in
root pts/0 192.168.1.0 Thu Feb 18 20:05 - 20:15 (00:10)
root pts/0 192.168.1.0 Thu Feb 18 20:10 - 20:10 (00:00)
var pts/0 192.168.1.0 Thu Feb 18 20:20 - 20:25 (00:05)
Los diferentes servicios y aplicaciones se registran en un archivo de registro en el /var/log directorio, que incluye los siguientes archivos:
- utmp :muestra el terminal, la hora de cierre de sesión, los eventos del sistema, el estado actual del sistema y la hora de inicio del sistema.
- wtmp :Proporciona datos históricos de utmp .
- btmp :Solo registra los intentos de inicio de sesión fallidos.
Puedes usar el last comando para leer el contenido de cada archivo.
last -f /var/log/utmp
last -f /var/log/wtmp
last -f /var/log/btmp
lastlog comando
El lastlog el comando formatea e imprime el contenido del último inicio de sesión en var/log/lastlog expediente. Muestra lo siguiente:
- nombre de usuario
- puerto
- hora del último inicio de sesión.
El comando ordena la salida por orden de usuario en /etc/passwd .
Los resultados se verían así:
Username Port From Latest
root pts/1 192.168.1.0 Thu feb 18 19:37:18 +0000 2021
will **Never logged in**
var **Never logged in**
sys **Never logged in**
test **Never logged in**
rack **Never logged in**