Linux хранит всю историю входов в три системные базы:
lastlog - последний логин каждого пользователя
utmp - текущие активные сессии
wtmp - история всех логинов/логаутов
Вот короткий набор инструментов, позволяющий получить максимум информации.
1️⃣ Последние входы всех пользователей (lastlog). Показать, кто реально входит в систему:
lastlog | grep -v "Never logged in"
Фильтр подозрительно старых аккаунтов:
lastlog | awk '$4 ~ /Jan|Feb|Mar|Apr/ && $NF != "**Never**"'
2️⃣ Активные сессии прямо сейчас
who
С IP, временем и TTY:
who --ips
Выделение пользователей с нестандартных подсетей:
who --ips | awk '$5 !~ /^10\.|^192\.168\./'
3️⃣ История всех входов/выходов
last -F
Кто заходил чаще всего:
last | awk '{print $1}' | sort | uniq -c | sort -nr | head
Только удаленные логины:
last | grep -E "pts/[0-9]"
4️⃣ Комбинированный отчет
echo "[ACTIVE SESSIONS]"; who --ips
echo "[LAST LOGINS]"; lastlog | grep -v "Never"
echo "[TOP USERS]"; last | awk '{print $1}' | sort | uniq -c | sort -nr | head
BashTex 📱 #bash #utils