linux(red hat)用户历史行为的追溯方法

《linux(red hat)用户历史行为的追溯方法》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Linux用户历史行为的追溯方法1．/var/account/pacct文件（非文本文件，每天1个，保留7天，轮替时间为每日4：02）用于查找由于用户操作而引发的系统或应用的故障原因。linux默认不启动该进程统计程序。但只要系统负荷和系统硬盘空间允许，可以使用该日志文件。启动进程统计程序的命令：accton/var/account/pacct停止进程统计程序的命令:acctonpacct日志文件记录了历史上曾经发生过的所有用户（含系统和应用）的所有操作（程序名【注：内部命令不记录，bash（linux默认的shell）常用的内部命令有：cd，k

2、ill等，全部内部命令可由命令manbash得到】，用户名，登录终端，命令运行时间段，日期和时间），结合last命令输出的终端所在的IP地址，我们就可知道用户在什么时间，从哪里登录，执行了什么命令，命令运行的时间长度。遗憾的是没有操作命令的参数，因为该程序的只是为进程统计而设。检查当前的命令（无参数）操作历史：#lastcomm–f/var/account/pacct（如文件很大可使用登录工具的log来保存）ftp_get.phpSsms__0.01secsFriMay2115:04smppxmzdFroot__0.00secsFriMay211

3、5:04crondSFroot__0.00secsFriMay2115:04shSsms__0.00secsFriMay2115:04pingSsms__0.00secsFriMay2115:04crondSFroot__0.00secsFriMay2115:04shSsms__0.00secsFriMay2115:04pingSsms__0.00secsFriMay2115:04consoletyperoot__0.00secsFriMay2115:04catroot__0.00secsFriMay2115:04crondSFroot__0.0

4、0secsFriMay2115:04shSsms__0.00secsFriMay2115:04pingSsms__0.00secsFriMay2115:04sgipdFroot__0.00secsFriMay2115:04consoletyperoot__0.00secsFriMay2115:04mvrootpts/40.00secsFriMay2115:03lsSrootpts/40.00secsFriMay2115:03[root@smslog]#案例分析：蓝色部分就是在日期时间May2115:03，用户root从终端pts/4登录上来，执行

5、了命令“ls”和“mv”。注意：该“mv”操作如果移走了系统或应用正在使用的目录或文件，则系统就会告警。而维护人员可根据此文件搜索到“mv”的操作者（lastcomm–f/var/account/pacct

6、grepmv），从而得知移走的内容，快速进行恢复。检查非当前的命令（无参数）操作历史：（1）解压某日的pacct.N.gzgzip-d/var/account/pacct.N.gz（2）查看某日的pacct.Nlastcomm–f/var/account/pacct.N2．/var/log/wtmp（非文本文件，每月1个，保留2月，轮替时间为

7、每月1日）用于查找用户登录位置和时间及时间段的历史。该文件记录了所有曾经登录过的用户名，登录源及登录时间段。系统默认保留2个月的记录：当月为wtmp，上月为wtmp.1。我们可使用该文件再配合其他命令来查询人为操作引发的系统故障。该日志文件最大的好处是有登录源信息（IP地址）。（1）查询当月用户的登录情况：[root@ftpnode2log]#lastrootpts/3172.16.80.140FriMay2110:34stillloggedinticketerpts/1192.168.71.145FriMay2110:25stilllogged

8、in。。ticketerpts/1172.16.80.28FriMay2109:00-09:09(00:09)ticketerpts/3192.168.71.145FriMay710:05-14:00(3+03:55)ticketerpts/4192.168.71.145FriMay709:34-11:46(02:11)ticketerpts/3172.16.80.28FriMay709:10-09:47(00:37)ticketerpts/3192.168.71.145ThuMay613:35-15:52(02:17)root:0ThuMay6

9、13:09stillloggedinticketerpts/3172.16.80.28ThuMay609:02-09:10(00:07)