Les tentatives de connexion invalides peuvent être suivies à l'aide de la commande lastb fourni le fichier /var/log/wtmp est présent. Certaines des causes possibles de tentatives de connexion incorrectes ou erronées sont indiquées ci-dessous :
- en raison d'une faute de frappe, un mot de passe erroné a été saisi lors de la connexion.
- le mot de passe a changé d'utilisateur utilisé dans cron pour se connecter via ssh.
- Si un pirate essaie de se connecter en utilisant un ID d'utilisateur aléatoire/commun.
Last login: Sat Apr 21 16:24:24 UTC 2018 on pts/3 Last failed login: Sat Apr 21 17:44:04 UTC 2018 from 185.189.58.212.ptr.cy4n.net on ssh:notty There was 1 failed login attempt since the last successful login.
Un exemple de sortie de la commande lastb est donné ci-dessous.
# lastb -a | more admin ssh:notty Sat Apr 21 17:44 - 17:44 (00:00) 185.189.58.212.ptr.cy4n.net admin ssh:notty Sat Apr 21 17:44 - 17:44 (00:00) 185.189.58.212.ptr.cy4n.net admin ssh:notty Sat Apr 21 17:44 - 17:44 (00:00) 185.189.58.212.ptr.cy4n.net admin ssh:notty Sat Apr 21 17:44 - 17:44 (00:00) 185.189.58.212.ptr.cy4n.net ...
Les commandes last et lastb parcourent le fichier /var/log/wtmp (ou le fichier désigné par l'indicateur -f) et affichent une liste de tous les utilisateurs connectés (et déconnectés) depuis la création de ce fichier. Vous pouvez toucher ce fichier s'il n'est pas déjà présent.
# touch /var/log/wtmp
last et lastb rapportent le contenu de /var/log/wtmp. La valeur par défaut est de rapporter le mois, le jour et l'heure de l'événement. Cependant, il peut y avoir plusieurs années de données dans ce fichier, et le mois/jour peut prêter à confusion. Le -F flag indiquera la date complète :
# lastb -F | more user ssh:notty 1.186.112.64 Sun Apr 22 03:49:47 2018 - Sun Apr 22 03:49:47 2018 (00:00) user ssh:notty 1.186.112.64 Sun Apr 22 03:49:44 2018 - Sun Apr 22 03:49:44 2018 (00:00) user ssh:notty 1.186.112.64 Sun Apr 22 03:49:40 2018 - Sun Apr 22 03:49:40 2018 (00:00) ...Remarque :Le système de comptabilité de votre ordinateur conserve une trace des statistiques d'utilisation des utilisateurs et est conservé dans le fichier /var/log/wtmp actuel. Ce fichier est géré par les processus init et login.