Discussion :

[amazigh42]

Bonjour,

Peut-on retrouver l'identifiant de login de celui qui a lancé une commande présente dans le résultat de HISTORY ?

Ou bien peut-on lister les commandes lancées dans un créneau horaire puis trouver les logins qui en sont l'origine ?

Merci d'avance

[Invité]

Pour voir le resultat d'history avec la date et l'heure :
export HISTTIMEFORMAT="%F %T "

Une fois que tu as l'heure du crime identifie le coupable avec la commande last.

[amazigh42]

Très intéressant

Merci encore

[amazigh42]

Une autre question
Comment fait-on quand il y a plusieurs identifiants qui couvrent l'heure du crime ?

[Invité]

En théorie les comptes sont nominatifs et comme chaque user a son propre history la question ne se pose pas. Après il y a des utilisateur qui sont fan du "su root". A toi de voir si tu la bloques ou pas.

Dans ton cas je suppose que c'est un compte partagé. Du coup a part regarder les logs ssh dans /var/log/secure ou auth.log, je ne vois pas. Si tes utilisateurs se logue via une clé ssh en fonction de la verbosité des logs y a peut être moyen de l'identifier.