مقدمه

یکی از مهم‌ترین وظایف مدیران سیستم، بررسی منظم ورود کاربران به سرور است. حتی اگر از SSH Key Authentication، فایروال و سایر تنظیمات امنیتی استفاده کرده باشید، باز هم بررسی لاگ‌های ورود می‌تواند اولین نشانه از یک فعالیت غیرعادی یا دسترسی غیرمجاز را آشکار کند.

لینوکس ابزارهای مختلفی برای مشاهده کاربران آنلاین، ورودهای اخیر، تلاش‌های ناموفق و تاریخچه نشست‌های کاربران در اختیار مدیر سیستم قرار می‌دهد.

در این مقاله با مهم‌ترین دستورات بررسی Loginها، تفاوت آن‌ها و روش تحلیل اطلاعات به‌دست‌آمده آشنا خواهید شد.

چرا بررسی Loginها اهمیت دارد؟

بررسی ورود کاربران به شما کمک می‌کند:

• ورودهای غیرمجاز را شناسایی کنید.
• فعالیت مدیران سیستم را بررسی کنید.
• زمان آخرین ورود کاربران را مشاهده کنید.
• حملات احتمالی Brute Force را تشخیص دهید.
• کاربران فراموش‌شده یا بلااستفاده را شناسایی کنید.

مشاهده کاربران آنلاین

ساده‌ترین دستور:

who

نمونه خروجی:

maraladmin pts/0 2026-07-08 09:25 (203.0.113.15)

این خروجی نشان می‌دهد:

• نام کاربر
• نوع ترمینال
• زمان ورود
• IP اتصال

مشاهده اطلاعات بیشتر کاربران آنلاین

دستور:

w

نمونه خروجی:

USER     TTY      FROM          LOGIN@   IDLE   JCPU   PCPU WHAT
maraladmin pts/0 203.0.113.15   09:25    2.00s  0.12s  0.01s htop

این دستور علاوه بر اطلاعات ورود، دستور در حال اجرای هر کاربر را نیز نمایش می‌دهد.

مشاهده آخرین Loginها

یکی از مهم‌ترین دستورات لینوکس:

last

نمونه خروجی:

maraladmin pts/0 203.0.113.15 Thu Jul 8 09:25 still logged in

این دستور تاریخچه ورود کاربران را از فایل زیر می‌خواند:

/var/log/wtmp

مشاهده Login یک کاربر خاص

برای مثال:

last maraladmin

مشاهده تعداد مشخصی از Loginها

برای مثال:

last -5

فقط پنج ورود آخر را نمایش می‌دهد.

مشاهده آخرین Login سیستم

برای مشاهده آخرین راه‌اندازی مجدد سیستم:

last reboot

مشاهده خاموش شدن سیستم

last shutdown

بررسی Loginهای ناموفق

برای مشاهده تلاش‌های ناموفق:

sudo lastb

این دستور اطلاعات را از فایل:

/var/log/btmp

نمایش می‌دهد.

نمونه خروجی:

root ssh:notty 198.51.100.15 Thu Jul 8 02:10

اگر lastb خروجی نداشت

ممکن است:

• فایل btmp وجود نداشته باشد.
• هنوز Login ناموفقی ثبت نشده باشد.
• سرویس ثبت لاگ غیرفعال باشد.

مشاهده آخرین Login هر کاربر

برای مثال:

lastlog

نمونه خروجی:

Username     Port     From           Latest
maraladmin   pts/0    203.0.113.15   Thu Jul 8 09:25

بررسی Login یک کاربر خاص

برای مثال:

lastlog -u maraladmin

مشاهده کاربران هرگز وارد نشده

گاهی در خروجی lastlog مشاهده می‌کنید:

Never logged in

این کاربران معمولاً:

• تازه ایجاد شده‌اند.
• کاربران سیستمی هستند.
• یا هیچ‌گاه از آن‌ها استفاده نشده است.

مشاهده کاربران فعال روی سیستم

برای مشاهده تمام کاربران:

cat /etc/passwd

برای مشاهده کاربران دارای Shell ورود:

grep "/bin/bash" /etc/passwd

یا:

grep "/bin/sh" /etc/passwd

بررسی Loginهای SSH

در Ubuntu و Debian:

grep "Accepted" /var/log/auth.log

در AlmaLinux و Rocky Linux:

grep "Accepted" /var/log/secure

مشاهده Loginهای ناموفق SSH

Ubuntu:

grep "Failed password" /var/log/auth.log

RHEL:

grep "Failed password" /var/log/secure

بررسی Loginهای Root

grep "root" /var/log/auth.log

یا:

grep "root" /var/log/secure

اگر Root Login را غیرفعال کرده باشید، نباید Login موفقی برای Root مشاهده شود.

چه Loginهایی مشکوک هستند؟

هنگام بررسی Loginها، موارد زیر نیاز به بررسی دارند:

• ورود از کشورهای غیرمنتظره
• ورود در ساعات غیرعادی
• Login با کاربر Root
• تعداد زیاد Login ناموفق
• ورود از IPهای ناشناس
• Login کاربرانی که مدت‌ها غیرفعال بوده‌اند.

در صورت مشاهده Login مشکوک چه کنیم؟

اگر ورود غیرعادی مشاهده کردید:

• IP را بررسی کنید.
• رمز عبور یا کلید SSH کاربر را تغییر دهید.
• فایل authorized_keys را بررسی کنید.
• لاگ‌های SSH را تحلیل کنید.
• سرویس‌های فعال را بررسی کنید.
• در صورت نیاز، IP را در فایروال مسدود کنید.

ابزارهای تکمیلی

علاوه بر دستورات بالا، این ابزارها نیز مفید هستند:

• journalctl
• ausearch (در سیستم‌های دارای Auditd)
• fail2ban-client
• whois
• geoiplookup

اشتباهات رایج

برخی از اشتباهات متداول عبارت‌اند از:

• بررسی نکردن Loginهای ناموفق
• نادیده گرفتن Loginهای Root
• پاک کردن لاگ‌ها بدون تحلیل
• بررسی نکردن فایل lastlog
• فعال نبودن ثبت لاگ سیستم

بهترین روش‌ها

برای افزایش امنیت:

• به‌صورت دوره‌ای دستور last را بررسی کنید.
• Loginهای ناموفق را روزانه کنترل کنید.
• Root Login را غیرفعال کنید.
• از SSH Key Authentication استفاده کنید.
• Fail2Ban را فعال نگه دارید.
• لاگ‌ها را در یک سامانه مانیتورینگ یا SIEM نیز ذخیره کنید.

چک‌لیست

در بررسی Loginهای اخیر، موارد زیر را کنترل کنید:

• کاربران آنلاین شناسایی شده‌اند.
• آخرین Loginها بررسی شده‌اند.
• Loginهای ناموفق بررسی شده‌اند.
• ورودهای Root بررسی شده‌اند.
• IPهای مشکوک شناسایی شده‌اند.
• لاگ‌های SSH با لاگ‌های سیستم مطابقت دارند.

جمع‌بندی

بررسی Loginهای اخیر یکی از ساده‌ترین اما مؤثرترین روش‌ها برای پایش امنیت سرورهای لینوکسی است. ابزارهایی مانند who، w، last، lastb و lastlog اطلاعات ارزشمندی درباره کاربران آنلاین، تاریخچه ورود، تلاش‌های ناموفق و آخرین فعالیت حساب‌های کاربری ارائه می‌دهند.

اگر این بررسی‌ها به‌صورت منظم انجام شوند و در کنار ابزارهایی مانند Fail2Ban، Auditd، SSH Key Authentication و مانیتورینگ امنیتی قرار گیرند، احتمال شناسایی سریع فعالیت‌های مشکوک و جلوگیری از نفوذ به سرور به‌طور قابل توجهی افزایش خواهد یافت.

کیان پور