Frage:Wie kann ich feststellen, welcher Benutzer einen bestimmten Befehl ausgeführt hat? oder Wenn der Benutzer seine .bash_history löscht, kann ich immer noch feststellen, wer einen Befehl ausgeführt hat?
Antwort:
Mit den Prozessabrechnungstools können Sie grundlegende Informationen darüber erhalten, wer einen bestimmten Befehl ausgeführt hat. Im Folgenden finden Sie die Schritte, um herauszufinden, wer den Befehl ausgeführt hat.
1. Der Dienst muss laufen, bevor das Accounting stattfindet, dies wird mit dem Befehl:
erreicht# /etc/init.d/psacct start
2. Dies kann mit dem Befehl
so aktiviert werden, dass es bei jedem Booten ausgeführt wird
# chkconfig psacct on
3. Um herauszufinden, wer einen bestimmten Befehl ausgeführt hat, geben Sie den Befehlsnamen als Parameter für lastcomm an Befehl.
# lastcomm rm
Und es sollte Ihnen zeigen, wer den Befehl ausführt.