Linux云服务器历史登录记录查看全攻略
作为Linux服务器管理员，监控用户登录活动是保障系统安全的重要环节。本文将详细介绍7种查看Linux云服务器历史登录记录的方法，并附赠安全加固建议。
一、基础命令工具
1. last命令 - 最常用的登录审计工具
执行命令：last 或 last -n 20（查看最近20条记录）
输出示例：
root pts/0 192.168.1.100 Tue Aug 15 09:30 - 11:45 (02:15) user1 pts/1 203.156.34.12 Mon Aug 14 14:20 - 15:40 (01:20)
参数说明：
- -a 显示完整主机名
- -x 显示系统关机/重启记录
- -i 显示IP地址而非主机名
2. lastb命令 - 查看失败登录尝试
该命令需要root权限：sudo lastb
注意：某些系统需要先启用此功能：touch /var/log/btmp
二、日志文件分析
3. /var/log/secure（RHEL/CentOS）
查看命令：grep "Accepted password" /var/log/secure
典型日志条目：
Aug 15 09:30:25 server1 sshd[1234]: Accepted password for root from 192.168.1.100 port 54322 ssh2
4. /var/log/auth.log（Debian/Ubuntu）
过滤SSH登录：grep "sshd" /var/log/auth.log
三、高级监控方案
5. utmpdump工具 - 二进制日志解析
查看当前登录：utmpdump /var/run/utmp
查看历史记录：utmpdump /var/log/wtmp
6. 配置syslog远程日志
编辑/etc/rsyslog.conf添加：
auth,authpriv.* @192.168.1.200:514
然后重启服务：systemctl restart rsyslog
7. 使用auditd审计系统
安装配置：yum install audit
添加监控规则：auditctl -w /var/log/secure -p war -k ssh_logins
安全加固建议
- 定期归档和轮转日志文件
- 配置
/etc/hosts.deny屏蔽多次失败尝试的IP - 启用SSH双重认证
- 使用
fail2ban自动封锁异常IP - 限制root直接登录
通过合理配置上述监控方案，您可以全面掌握服务器的登录情况。建议结合多种方法使用，并设置自动报警机制。对于关键业务服务器，还应考虑部署专业的SIEM系统进行集中式日志分析。