如何高效查看Linux云服务器登录历史？运维必备技巧大全

一、常用登录历史查看命令

1. last命令 - 最直接的登录记录查看方式

last
last -n 10  # 查看最近10条记录
last -x     # 显示关机/重启记录

last命令会显示/var/log/wtmp文件内容，包含用户名、登录终端、来源IP、登录/登出时间等信息。

2. lastb命令 - 查看失败的登录尝试

lastb
lastb -n 20

该命令读取/var/log/btmp文件，对发现暴力破解行为特别有用。

3. who命令 - 查看当前登录用户

who
who -H      # 显示标题栏
who -b      # 显示系统最后启动时间

二、系统日志分析方法

1. 查看安全日志

cat /var/log/secure
grep "Accepted password" /var/log/secure  # 筛选成功登录
grep "Failed password" /var/log/secure    # 筛选失败登录

2. 使用journalctl查看系统日志

journalctl -u sshd
journalctl --since "2023-08-01" --until "2023-08-30"

三、高级监控方案

1. 配置实时监控脚本

创建/etc/ssh/login_monitor.sh：

#!/bin/bash
tail -f /var/log/secure | grep --line-buffered "Accepted" | while read line
do
    echo "$(date) - $line" >> /var/log/login_monitor.log
    # 可以添加邮件或短信报警
done

2. 使用第三方监控工具

• OSSEC - 开源主机入侵检测系统
• Fail2Ban - 自动屏蔽暴力破解IP
• Wazuh - 企业级安全监控平台

四、安全建议

1. 定期备份/var/log/wtmp和/var/log/btmp文件
2. 配置日志轮转防止日志过大
3. 设置SSH登录提醒邮件通知
4. 禁用root直接登录
5. 使用密钥认证代替密码