Как в ubuntu смотреть, какой пользователь что делал?

Question

[f0kusn1k]

Как в ubuntu посмотреть:
1. Какой пользователь в какое время заходил?
2. Действия того или иного пользователя?
3. Если пользователь пользовался sudo -i, sudo -s, sudo su, как посмотреть, что он делал под этими оболочками?
4. Как посмотреть, какой пользователь использовал тот или иной репозиторий и что он там делал?

Comments

[aleks-th]

Скорее никак, если пред этим не было настроено логгирование действий пользователя.

Answer 1

[Михаил Р.]

zver - наш воображаемый пользователь-зверь.

1. Какой пользователь в какое время заходил?

- last - история входов.
- last zver - история входов зверя.
- lastb zver - история неудачных входов зверя.
- last zver | grep "Jan 21" - история входов зверя за 21 января сего года.
- last -s -7days zver - история входов зверя за последние 7 дней.
- last -s 2025-01-15 -t 2025-01-21 zver - история входов зверя за 15-21 января 2025 года.

2. Действия того или иного пользователя?

- cat /home/zver/.bash_history - история команд зверя.
- who -u - показывает активных пользователей (терминалы и время входа).
- ps -u zver - показывает список активных процессов зверя.
- sudo iotop -u zver - мониторинг ввода вывода пользователя зверя (в режиме реального времени).
- sudo iftop -f "src user zver" - показывает сетевой трафик зверя.
- sudo tail -f /var/log/syslog | grep zver - просмотр действий зверя в реальном времени.
- sudo journalctl -f | grep zver - отслеживание действий зверя в реальном времени (если используется systemd).
- sudo lsof -u zver - какие файлы открыты у зверя.
- find /home/zver -type f -mmin -60 - какие файлы изменил зверь за последний час.
- stat /home/zver/nomera-devchonok.txt - показывает подробности что делал зверь с файлом стратегического назначения.

3. Если пользователь пользовался sudo -i, sudo -s, sudo su, как посмотреть, что он делал под этими оболочками?

- sudo grep zver /var/log/auth.log - история команд (втч. под sudo) зверя.
- sudo zgrep zver /var/log/auth.log* - просмотр истории команд зверя из текущих и архивных логгов.
- sudo aureport -x --summary - показывает сводку команд (втч. под sudo).

Расширенный мониторинг зверей - auditd и еще.

Answer 2

[pfg21]

для полноценного логирования действий пользователей использовать демона auditd
в остальном как повезет.

1. sshd пишет соответвующую строчку в системный лог. tty кажись тоже.
2. оболочка никаких команд не логирует. по идее, команды пользователя оболочка сохраняет в history, но он доступен пользователю на очистку и удаление. плюс пишутся не все команды, к примеру, наличие пробела в начале команды или несколько сессий оболочки одновременно.
3. никак. sudo в принципе запишет запуск оболочки в сислог. однако команды он уже не видит, ну а оболочка смотри пункт 2.
4. смотри /var/log/apt/history.log

Comments

[Adamos]

По п. 2 еще довольно распространен сценарий, когда в логе sudo mc - а дальше то, что было в mc, остается в mc :)