Linux日志中如何监控用户登录活动-LINUX-PHP中文网

Linux日志中如何监控用户登录活动

畫卷琴夢

发布： 2025-04-16 08:24:24

原创

758人浏览过

linux日志中如何监控用户登录活动

本文介绍几种在Linux系统中监控用户登录活动的方法，帮助您有效追踪用户登录行为并提升系统安全性。

方法一：直接查看日志文件

大多数Linux发行版将认证日志记录在/var/log/auth.log或/var/log/secure文件中。您可以使用以下命令查看用户登录和登出信息：

sudo cat /var/log/auth.log | grep "session opened"
sudo cat /var/log/auth.log | grep "session closed"

登录后复制

方法二：使用last命令

last命令简洁地显示最近的用户登录和登出记录：

last

登录后复制

方法三：使用lastlog命令

lastlog命令显示每个用户的最后一次登录时间及IP地址：

sudo lastlog

登录后复制

方法四：利用grep和awk进行日志过滤和分析

趣问问AI

免费可用的国内版chat，AI写作和AI对话

grep和awk组合使用，可以更精准地筛选和分析日志信息。例如，以下命令提取用户登录时间、用户名等关键信息：

sudo grep "session opened" /var/log/auth.log | awk '{print $1, $3, $4, $5, $6, $7, $8, $9, $10}'

登录后复制

方法五：借助fail2ban防止暴力破解

fail2ban是一款强大的工具，可监控登录尝试并自动封禁可疑IP地址，有效防止暴力破解攻击。安装及配置步骤如下：

安装：sudo apt-get install fail2ban
配置：编辑/etc/fail2ban/jail.local文件，修改bantime、maxretry等参数，并确保[sshd]部分启用且logpath指向正确的日志文件。
重启服务：sudo systemctl restart fail2ban

方法六：使用auditd进行深入审计

auditd是一个高级审计工具，能记录更详细的系统活动，包括系统调用和文件访问。

安装：sudo apt-get install auditd audispd-plugins
配置：在/etc/audit/audit.rules文件中添加规则-w /var/log/auth.log -p wa -k auth_log，监控/var/log/auth.log文件的变化。
重启服务：sudo systemctl restart auditd
查看日志：sudo ausearch -k auth_log

通过以上方法，您可以全面监控Linux系统中的用户登录活动，及时发现异常并采取相应的安全措施。选择哪种方法取决于您的具体需求和技术水平。

以上就是Linux日志中如何监控用户登录活动的详细内容，更多请关注php中文网其它相关文章！