La lastcommande peut afficher trop peu de lignes d'informations de connexion utilisateur, tronquées lorsque le «wtmp commence».

Si je veux obtenir autant d' lastinformations que possible (par exemple, pour voir si mon système a été accédé à partir d'une adresse IP inconnue / suspecte en utilisant mon nom d'utilisateur), comment puis-je sortir les anciennes "dernières" informations?

Si j'utilise last -2000, avec l'intention de voir 2000 lignes de sortie, mais que la commande ne peut renvoyer que quelques lignes, tout ce qui s'est passé avant le «wtmp commence» serait tronqué.)

Je me demande simplement s'il est possible de générer autant de lignes d'informations de connexion que possible.

La lastcommande utilise le fichier binaire /var/log/wtmppour afficher une liste des derniers utilisateurs connectés.

Mais /var/log/wtmpc'est un fichier tourné où les anciennes entrées sont archivées dans /var/log/wtmp.xoù x est un chiffre [0-9].

Donc, si vous devez regarder plus en profondeur dans l'historique de connexion, essayez d'ouvrir l'un de ces fichiers:

last -2000 -f /var/log/wtmp.1 | less

Si le dernier -f /var/log/wtmp.1ne donne aucune sortie, cela peut être dû au fait, par exemple, que la longueur d'enregistrement a changé dans une version plus récente.

Une option simple serait alors d'utiliser utmpdump à la place:

utmpdump /var/log/wtmp.1  | less

Oh, et lesspeut être quitté en utilisant q(à partir de "quitter" ;-))

Mettre à jour

Se connecte

/var/log/wtmp.1

sont contraints.

Ubuntu 16 et probablement 17 ont un mécanisme de suppression des journaux datant de plus d'un mois. Pour configurer ce comportement, vous devez modifier:

/etc/logrotate.conf

Plus d'informations:

Accès aux journaux de démarrage et d'arrêt