यदि कोई रूट उपयोगकर्ता मेरे सर्वर में सफलतापूर्वक ssh'd है तो मैं कैसे जांच कर सकता हूं?

Question

निम्न कोड सभी स्वीकृत देता है, लेकिन उपयोगकर्ता नाम से फ़िल्टर नहीं करता है

sudo cat /var/log/auth.log | grep Accepted

Comments

निश्चित रूप से आपको केवल परिणाम को पाइप करने की आवश्यकता नहीं है grep root? तो कृपया एक उदाहरण प्रदान करें कि आप परिणाम के रूप में क्या चाहते हैं

— roaima

Answer 1

Grep पैटर्न में उपयोगकर्ता नाम जोड़ें?

# grep -e "Accepted .* for root " /var/log/auth.log
May  3 23:09:01 lumi sshd[21046]: Accepted publickey for root from 1.2.3.4 port 44308 ssh2
May  6 21:25:20 lumi sshd[6642]: Accepted publickey for root from 1.2.3.4 port 44556 ssh2

या उपयोग करें last, जो पढ़ता है /var/log/wtmp, जिसमें सत्र का एक लॉग शुरू होता है। ध्यान दें कि गैर-सक्रिय सत्र यहां संग्रहीत नहीं हैं।

# last root
root     pts/38       somehost.somewhere  Sat May  6 21:25   still logged in   
root     pts/3        somehost.somewhere  Wed May  3 23:09 - 23:09  (00:00)  

कम से कम उन लॉग का स्थान सिस्टम / वितरण विशिष्ट हो सकता है।

---

हालाँकि, जब से हम रूट लॉगिन के बारे में बात कर रहे हैं, यह नोट करना अच्छा हो सकता है कि रूट पावर वाले कोई भी व्यक्ति अपने लॉगिन को छिपाने के लिए लॉग को संपादित कर सकता है, इसलिए यदि आप ऑडिटिंग के लिए ऐसा कर रहे हैं, तो आपके पास बाहरी सिस्टम में लॉगिंग होना चाहिए ।

Answer 2

शायद अंतिम कमांड आपको रूट लॉगिन सूची में मदद करेगा? इस उदाहरण में, अंतिम कमांड यह दर्शाती है कि बुधवार 11 जनवरी को छद्म टर्मिनल 3 (पीटीएस / 3) का उपयोग करके आईपी पते 10.1.57.140 के साथ मशीन से रूट लॉग किया गया, जबकि अंतिम रूप से स्पष्ट रूप से एसएसएच नहीं बताया गया है, pts / 3 एक हो सकता है मजबूत संकेत है कि एसएसएच का उपयोग करके कनेक्शन बनाया गया था।

[root@server1 ~]# last
john.doe  pts/0        server1.example.com  Thu Jan 12 12:04  still logged in
root      pts/3        10.1.57.140          Wed Jan 11 12:54 - 13:13  (00:19)
reboot    system boot  3-10-0-327.e17.x     Wed Jan 11 12:52 - 13:10  (00:01)
. . .