Как посмотреть историю входов пользователей в систему Linux?

Для просмотра истории аутентификаций (успешных входов, перезагрузок, выключений) используется команда last.

Принцип работы: last читает структурированные данные из бинарного лог-файла /var/log/wtmp.

Базовое использование:

# Показать последние записи (сверху — самые новые)
last

# Ограничить вывод 20 последними записями
last -n 20

Полезные опции:

• last -x — показать также события выключения (shutdown) и изменения уровня выполнения (runlevel).
• last -a — вывести hostname (удалённый адрес) в последней колонке.
• last username — отфильтровать записи по конкретному пользователю.
• last reboot — показать только историю перезагрузок системы.

Для мониторинга безопасности (неудачные попытки входа): Неудачные попытки входа логируются в другие файлы, обычно /var/log/auth.log (Debian/Ubuntu) или /var/log/secure (RHEL/CentOS). Для их просмотра используйте grep:

# Просмотр неудачных попыток
sudo grep 'Failed password' /var/log/auth.log

# Просмотр неудачных попыток для конкретного пользователя
sudo grep 'Failed password for invalid user john' /var/log/auth.log