LinuxParty
En este artículo se explica cómo utilizar la salida del comando last
para determinar quiénes fueron los últimos usuarios logueados en un sistema GNU/Linux.
El logeo sirve tanto para accesos desde la consola, ssh o ftp.
En Linux, cada vez que un usuario ingresa en el sistema utilizando la herramienta login
, se genera y guarda un registro de su acceso en un archivo de log (generalmente en el archivo /var/log/wtmp
).
La herramienta login
busca primero al usuario en el archivo /etc/passwd
y gestiona el proceso de autenticación y autorización. Es decir, determina si el usuario es quien dice ser (mediante una contraseña) y si tiene permiso para ingresar al sistema
Además de los accesos desde la terminal conectada directamente al sistema (TTY) algunos servicios como SSH, SCP y SFTP también utilizan la herramienta login
para autentificarse y autorizar usuarios. Inclusive es posible restringir el acceso a estos servicios sólo a aquellos usuarios que pertenezcan a un grupo específico.
La salida del comando last
está ordenada con los acceso más recientes al principio de la lista. Para mostrar sólo algunos de los últimos accesos (en vez de todos los que se encuentran registrados desde la creación del archivo /var/log/wtmp
) se debe utilizar la opción -n
. Por ejemplo, para que muestre sólo los últimos 5 accesos, utilizar:
[root@myownserver ~]# last -n 5
root pts/3 ip.de.origen1. Tue Nov 26 16:24 still logged in
root ftpd500 ip.de.origen1. Wed Nov 20 08:47 - 11:10 (02:22)
root pts/3 ip.de.origen1. Wed Nov 20 08:16 - 14:10 (05:53)
root pts/3 ip.de.origen1. Thu Nov 14 12:58 - 14:10 (01:11)
root pts/3 ip.de.origen1. Wed Nov 13 07:52 - 13:03 (05:10)
wtmp begins Sat Feb 28 11:31:02 2015
También es posible omitir la letra n
y poner el número directamente:
[root@myownserver ~]# last -5
root pts/3 ip.de.origen1. Tue Nov 26 16:24 still logged in
root ftpd500 ip.de.origen1. Wed Nov 20 08:47 - 11:10 (02:22)
root pts/3 ip.de.origen1. Wed Nov 20 08:16 - 14:10 (05:53)
root pts/3 ip.de.origen1. Thu Nov 14 12:58 - 14:10 (01:11)
root pts/3 ip.de.origen1. Wed Nov 13 07:52 - 13:03 (05:10)
wtmp begins Sat Feb 28 11:31:02 2015
La primera columna muestra el nombre de usuario; la segunda la terminal asociada; la tercera el nombre de host desde donde ingresó; la cuarta la fecha de ingreso; y la quinta la fecha de salida. Por último muestra el tiempo total en el sistema, entre paréntesis. El problema más común es que las columnas poseen un ancho fijo, por lo que el nombre de host (un dato que suele ser de interés) queda truncado. Para corregir esto es posible mostrar el nombre de host en la última columna, utilizando la opción -a
:
[root@myownserver ~]# last -an 5
root pts/3 Tue Nov 26 16:24 still logged in ip.de.origen1
root ftpd500 Wed Nov 20 08:47 - 11:10 (02:22) ip.de.origen1
root pts/3 Wed Nov 20 08:16 - 14:10 (05:53) ip.de.origen1
root pts/3 Thu Nov 14 12:58 - 14:10 (01:11) ip.de.origen1
root pts/3 Wed Nov 13 07:52 - 13:03 (05:10) ip.de.origen1
wtmp begins Sat Feb 28 11:31:02 2015
Como los sistemas GNU/Linux guardan tanto el nombre de host como IP, es posible mostrar las direcciones IP, en lugar de hostnames, utilizando la opción -i
:
[root@myownserver ~]# last -ain 5
root pts/3 Tue Nov 26 16:24 still logged in 123.321.123.321
root ftpd500 Wed Nov 20 08:47 - 11:10 (02:22) 123.321.123.321
root pts/3 Wed Nov 20 08:16 - 14:10 (05:53) 123.321.123.321
root pts/3 Thu Nov 14 12:58 - 14:10 (01:11) 123.321.123.321
root pts/3 Wed Nov 13 07:52 - 13:03 (05:10) 123.321.123.321
wtmp begins Sat Feb 28 11:31:02 2015
Si se desean mostrar las fechas en formato completo, utilizar -F
:
[root@pepeserver154 ~]# last -aiFn
COMPROBAR LOS INTENTOS FALLIDOS.
Por último un ejemplo con la herramienta lastb
, la cual muestra los intentos de acceso fallidos (algo de suma importancia en lo que respecta a la seguridad de nuestro servidor):
[root@pepeserver154 ~]# lastb -ia
root ssh:notty Tue Nov 26 16:24 - 16:24 (00:00) 123.321.123.321
ssh:notty Fri Nov 22 12:19 - 12:19 (00:00) 107.22.83.149
ssh:notty Fri Nov 22 12:19 - 12:19 (00:00) 107.22.83.149
btmp begins Fri Nov 22 12:19:52 2013
Puede contratar ExtreHost para temas profesionales con sus servidores. No lo dude, contáctenos.
-
Privacidad
- Joven de 18 años arrestado y absuelto tras gastar una broma en Snapchat sobre un Avisión derribado
- Los usuarios de Plex temen que la nueva función filtre sus hábitos pornográficos a sus amigos y familiares
- eIDAS 2: Controversias en la Identidad Digital Europea por el Artículo 45 y sus Implicaciones en Seguridad y Privacidad
- Los coches conectados a Internet no superan las pruebas de privacidad y seguridad realizadas por Mozilla
- Un popular sitio porno deberá eliminar todos los videos amateur publicados sin consentimiento
- Un tribunal alemán dictamina que el uso policial de software de lucha contra el crimen es ilegal
- Aceptar las cookies por defecto, como hacerlo con Firefox, Chrome, Edge, Safari, Opera o Brave
- Telegram tiene un serio problema de Doxxing
- Informe de Facebook: la censura violó los derechos de los palestinos
- La policía de San Francisco está utilizando automóviles sin conductor como cámaras de vigilancia móviles
- Tres de cada cuatro adultos piensan que Facebook está empeorando la sociedad, según una encuesta
- Por qué deberías borrar la app de Facebook de tu móvil
- Privacidad en internet para periodistas
- Facebook sigue recolectando tu localización, pese a que la desactives, así puede seguir vendiendo tu privacidad y ganando dinero.
- La APP de FaceBook, recopia información de nuestros móviles y lo sube a sus servidores, y no sabemos por qué.