LinuxParty
En este artículo se explica cómo utilizar la salida del comando last
para determinar quiénes fueron los últimos usuarios logueados en un sistema GNU/Linux.
El logeo sirve tanto para accesos desde la consola, ssh o ftp.
En Linux, cada vez que un usuario ingresa en el sistema utilizando la herramienta login
, se genera y guarda un registro de su acceso en un archivo de log (generalmente en el archivo /var/log/wtmp
).
La herramienta login
busca primero al usuario en el archivo /etc/passwd
y gestiona el proceso de autenticación y autorización. Es decir, determina si el usuario es quien dice ser (mediante una contraseña) y si tiene permiso para ingresar al sistema
Además de los accesos desde la terminal conectada directamente al sistema (TTY) algunos servicios como SSH, SCP y SFTP también utilizan la herramienta login
para autentificarse y autorizar usuarios. Inclusive es posible restringir el acceso a estos servicios sólo a aquellos usuarios que pertenezcan a un grupo específico.
La salida del comando last
está ordenada con los acceso más recientes al principio de la lista. Para mostrar sólo algunos de los últimos accesos (en vez de todos los que se encuentran registrados desde la creación del archivo /var/log/wtmp
) se debe utilizar la opción -n
. Por ejemplo, para que muestre sólo los últimos 5 accesos, utilizar:
[root@myownserver ~]# last -n 5
root pts/3 ip.de.origen1. Tue Nov 26 16:24 still logged in
root ftpd500 ip.de.origen1. Wed Nov 20 08:47 - 11:10 (02:22)
root pts/3 ip.de.origen1. Wed Nov 20 08:16 - 14:10 (05:53)
root pts/3 ip.de.origen1. Thu Nov 14 12:58 - 14:10 (01:11)
root pts/3 ip.de.origen1. Wed Nov 13 07:52 - 13:03 (05:10)
wtmp begins Sat Feb 28 11:31:02 2015
También es posible omitir la letra n
y poner el número directamente:
[root@myownserver ~]# last -5
root pts/3 ip.de.origen1. Tue Nov 26 16:24 still logged in
root ftpd500 ip.de.origen1. Wed Nov 20 08:47 - 11:10 (02:22)
root pts/3 ip.de.origen1. Wed Nov 20 08:16 - 14:10 (05:53)
root pts/3 ip.de.origen1. Thu Nov 14 12:58 - 14:10 (01:11)
root pts/3 ip.de.origen1. Wed Nov 13 07:52 - 13:03 (05:10)
wtmp begins Sat Feb 28 11:31:02 2015
La primera columna muestra el nombre de usuario; la segunda la terminal asociada; la tercera el nombre de host desde donde ingresó; la cuarta la fecha de ingreso; y la quinta la fecha de salida. Por último muestra el tiempo total en el sistema, entre paréntesis. El problema más común es que las columnas poseen un ancho fijo, por lo que el nombre de host (un dato que suele ser de interés) queda truncado. Para corregir esto es posible mostrar el nombre de host en la última columna, utilizando la opción -a
:
[root@myownserver ~]# last -an 5
root pts/3 Tue Nov 26 16:24 still logged in ip.de.origen1
root ftpd500 Wed Nov 20 08:47 - 11:10 (02:22) ip.de.origen1
root pts/3 Wed Nov 20 08:16 - 14:10 (05:53) ip.de.origen1
root pts/3 Thu Nov 14 12:58 - 14:10 (01:11) ip.de.origen1
root pts/3 Wed Nov 13 07:52 - 13:03 (05:10) ip.de.origen1
wtmp begins Sat Feb 28 11:31:02 2015
Como los sistemas GNU/Linux guardan tanto el nombre de host como IP, es posible mostrar las direcciones IP, en lugar de hostnames, utilizando la opción -i
:
[root@myownserver ~]# last -ain 5
root pts/3 Tue Nov 26 16:24 still logged in 123.321.123.321
root ftpd500 Wed Nov 20 08:47 - 11:10 (02:22) 123.321.123.321
root pts/3 Wed Nov 20 08:16 - 14:10 (05:53) 123.321.123.321
root pts/3 Thu Nov 14 12:58 - 14:10 (01:11) 123.321.123.321
root pts/3 Wed Nov 13 07:52 - 13:03 (05:10) 123.321.123.321
wtmp begins Sat Feb 28 11:31:02 2015
Si se desean mostrar las fechas en formato completo, utilizar -F
:
[root@pepeserver154 ~]# last -aiFn
COMPROBAR LOS INTENTOS FALLIDOS.
Por último un ejemplo con la herramienta lastb
, la cual muestra los intentos de acceso fallidos (algo de suma importancia en lo que respecta a la seguridad de nuestro servidor):
[root@pepeserver154 ~]# lastb -ia
root ssh:notty Tue Nov 26 16:24 - 16:24 (00:00) 123.321.123.321
ssh:notty Fri Nov 22 12:19 - 12:19 (00:00) 107.22.83.149
ssh:notty Fri Nov 22 12:19 - 12:19 (00:00) 107.22.83.149
btmp begins Fri Nov 22 12:19:52 2013
Puede contratar ExtreHost para temas profesionales con sus servidores. No lo dude, contáctenos.
-
Linux
- Cambiar la Hora y la Fecha al sistema Linux
- Montar un directorio remoto, vía NFS, en Linux
- Predicciones de Linux para 2025
- Elementary OS 8: una distribución de Linux para usuarios de Windows y macOS
- Renombrar multiples archivos masivamente en Linux (quitar espacios, cambiar mayúsculas) a la vez en Linux
- He utilizado Linux durante 30 años. Aquí hay 5 razones por las que nunca cambiaré a Windows o MacOS
- Mis predicciones sobre Linux para 2025: será un buen año
- ¿Por qué Torvalds eliminó a los encargados rusos del mantenimiento del núcleo de Linux?
- 10 cosas que siempre hago después de instalar Linux (y por qué tú también deberías hacerlo)
- 7 cosas que nunca hago después de instalar Linux (y por qué tú tampoco deberías)
- Detección de Intrusos: Snort, Base, MySQL, y Apache2 en Ubuntu Linux 7.10
- ¿Por qué no más personas usan Linux en el escritorio? Tengo una teoría que quizás no te guste.
- Los países occidentales ricos lideran la expansión mundial del petróleo y el gas
- Systemd 256.1 aborda la queja de que 'systemd-tmpfiles' podría eliminar inesperadamente su directorio /home
- Por qué un kernel Linux de distribución 'congelada' no es la mejor opción para la seguridad