Иногда на сервере что-то сломалось, а вопрос один:
кто заходил, когда заходил и что менял?
В Linux часть ответов можно найти без отдельного мониторинга. Но важно понимать: стандартные логи показывают не всё, а историю команд легко удалить.
Кто заходил на сервер
Посмотреть последние входы пользователей:
last
Неудачные попытки входа:
lastb
Текущие активные сессии:
who
w
Для SSH обычно полезно смотреть auth-логи:
grep "sshd" /var/log/auth.log
На RHEL/CentOS/AlmaLinux путь чаще такой:
grep "sshd" /var/log/secure
Кто выполнял команды
У каждого пользователя есть история shell:
cat ~/.bash_history
Но это слабый источник: команды могут записываться не сразу, часть команд может не попасть в историю, а сам файл можно почистить. Полезнее включить timestamp для истории:
echo 'export HISTTIMEFORMAT="%F %T "' >> ~/.bashrc
source ~/.bashrc
После этого
history будет показывать время выполнения команд:
history
Кто менял файлы
Посмотреть время изменения файла:
stat /etc/nginx/nginx.conf
Найти файлы, изменённые за последний день:
find /etc/nginx -type f -mtime -1 -ls
За последние 60 минут:
find /etc/nginx -type f -mmin -60 -ls
Но
stat и find покажут время изменения, а не имя пользователя, который это сделал. Если нужно именно кто изменил файл, заранее включают auditd:
apt install auditd
Добавить наблюдение за файлом:
auditctl -w /etc/nginx/nginx.conf -p wa -k nginx_config
Потом искать события:
ausearch -k nginx_config
Вывод
last, auth.log, history, stat и find помогают быстро понять, что происходило на сервере. Но если нужно точно знать, кто менял важные файлы, лучше заранее включить auditd. Без него Linux часто покажет когда файл изменили, но не всегда покажет кем.LinuxCamp | #utils