LinuxParty

En este artículo se explica cómo utilizar la salida del comando last para determinar quiénes fueron los últimos usuarios logueados en un sistema GNU/Linux.

El logeo sirve tanto para accesos desde la consola, ssh o ftp.

En Linux, cada vez que un usuario ingresa en el sistema utilizando la herramienta login, se genera y guarda un registro de su acceso en un archivo de log (generalmente en el archivo /var/log/wtmp). 

La herramienta login busca primero al usuario en el archivo /etc/passwd y gestiona el proceso de autenticación y autorización. Es decir, determina si el usuario es quien dice ser (mediante una contraseña) y si tiene permiso para ingresar al sistema

Además de los accesos desde la terminal conectada directamente al sistema (TTY) algunos servicios como SSH, SCP y SFTP también utilizan la herramienta login para autentificarse y autorizar usuarios. Inclusive es posible restringir el acceso a estos servicios sólo a aquellos usuarios que pertenezcan a un grupo específico.

La salida del comando last está ordenada con los acceso más recientes al principio de la lista. Para mostrar sólo algunos de los últimos accesos (en vez de todos los que se encuentran registrados desde la creación del archivo /var/log/wtmp) se debe utilizar la opción -n. Por ejemplo, para que muestre sólo los últimos 5 accesos, utilizar:

[root@myownserver ~]# last -n 5
root pts/3   ip.de.origen1. Tue Nov 26 16:24 still logged in
root ftpd500 ip.de.origen1. Wed Nov 20 08:47 - 11:10 (02:22)
root pts/3   ip.de.origen1. Wed Nov 20 08:16 - 14:10 (05:53)
root pts/3   ip.de.origen1. Thu Nov 14 12:58 - 14:10 (01:11)
root pts/3   ip.de.origen1. Wed Nov 13 07:52 - 13:03 (05:10)

wtmp begins Sat Feb 28 11:31:02 2015

También es posible omitir la letra n y poner el número directamente:

[root@myownserver ~]# last -5
root pts/3   ip.de.origen1. Tue Nov 26 16:24 still logged in
root ftpd500 ip.de.origen1. Wed Nov 20 08:47 - 11:10 (02:22)
root pts/3   ip.de.origen1. Wed Nov 20 08:16 - 14:10 (05:53)
root pts/3   ip.de.origen1. Thu Nov 14 12:58 - 14:10 (01:11)
root pts/3   ip.de.origen1. Wed Nov 13 07:52 - 13:03 (05:10)

wtmp begins Sat Feb 28 11:31:02 2015

La primera columna muestra el nombre de usuario; la segunda la terminal asociada; la tercera el nombre de host desde donde ingresó; la cuarta la fecha de ingreso; y la quinta la fecha de salida. Por último muestra el tiempo total en el sistema, entre paréntesis. El problema más común es que las columnas poseen un ancho fijo, por lo que el nombre de host (un dato que suele ser de interés) queda truncado. Para corregir esto es posible mostrar el nombre de host en la última columna, utilizando la opción -a:

[root@myownserver ~]# last -an 5
root pts/3   Tue Nov 26 16:24 still logged in ip.de.origen1
root ftpd500  Wed Nov 20 08:47 - 11:10 (02:22) ip.de.origen1
root pts/3    Wed Nov 20 08:16 - 14:10 (05:53) ip.de.origen1
root pts/3    Thu Nov 14 12:58 - 14:10 (01:11) ip.de.origen1
root pts/3    Wed Nov 13 07:52 - 13:03 (05:10) ip.de.origen1

wtmp begins Sat Feb 28 11:31:02 2015

Como los sistemas GNU/Linux guardan tanto el nombre de host como IP, es posible mostrar las direcciones IP, en lugar de hostnames, utilizando la opción -i:

[root@myownserver ~]# last -ain 5
root pts/3   Tue Nov 26 16:24 still logged in 123.321.123.321
root ftpd500  Wed Nov 20 08:47 - 11:10 (02:22) 123.321.123.321
root pts/3    Wed Nov 20 08:16 - 14:10 (05:53) 123.321.123.321
root pts/3    Thu Nov 14 12:58 - 14:10 (01:11) 123.321.123.321
root pts/3    Wed Nov 13 07:52 - 13:03 (05:10) 123.321.123.321

wtmp begins Sat Feb 28 11:31:02 2015

Si se desean mostrar las fechas en formato completo, utilizar -F:

[root@pepeserver154 ~]# last -aiFn 

COMPROBAR LOS INTENTOS FALLIDOS.

Por último un ejemplo con la herramienta lastb, la cual muestra los intentos de acceso fallidos (algo de suma importancia en lo que respecta a la seguridad de nuestro servidor):

[root@pepeserver154 ~]# lastb -ia
root ssh:notty Tue Nov 26 16:24 - 16:24 (00:00) 123.321.123.321
 ssh:notty Fri Nov 22 12:19 - 12:19 (00:00) 107.22.83.149
 ssh:notty Fri Nov 22 12:19 - 12:19 (00:00) 107.22.83.149

btmp begins Fri Nov 22 12:19:52 2013

Puede contratar ExtreHost para temas profesionales con sus servidores. No lo dude, contáctenos.