在Linux系统中，查看操作记录是系统管理、故障排查和安全审计的重要环节，操作记录可能包括用户执行的命令、登录日志、系统事件等，通过不同工具和方法可以全面追溯系统行为,以下是常用的查看操作记录的方式及具体操作方法。
通过历史命令查看用户操作记录
历史命令记录了用户在终端中执行过的指令，默认存储在用户主目录的.bash_history文件中（取决于用户使用的shell，如zsh的.zsh_history）。
查看当前会话的历史命令
在终端输入history命令，可显示当前会话中执行过的命令列表，每条命令前带有序号：
history
输出示例：
1 ls -l
2 cd /var/log
3 cat secure 结合grep可搜索特定命令，如查看所有包含ssh的命令：
history | grep ssh
查看历史命令文件
历史命令默认保存在~/.bash_history中，使用cat、less或vim查看：
cat ~/.bash_history
若需查看其他用户的历史命令，需切换到对应用户或使用sudo（需具备权限）。
历史命令的配置
通过修改~/.bashrc或/etc/profile文件可调整历史命令的记录规则，
HISTSIZE=1000：设置历史命令记录数量（默认1000）；HISTFILESIZE=2000：设置历史文件最大行数；HISTTIMEFORMAT="%Y-%m-%d %H:%M:%S "：为历史命令添加时间戳。
通过系统日志文件查看操作记录
Linux系统将关键操作记录在日志文件中，位于/var/log/目录下，不同日志文件记录不同类型的事件。
常用日志文件及查看方法
以下是主要日志文件的用途和查看命令：
| 日志文件 | 用途 | 查看命令示例 | 适用场景 |
|---|---|---|---|
/var/log/secure |
记录用户登录、认证信息 | tail -f /var/log/secure |
查看SSH登录、sudo操作 |
/var/log/messages |
系统核心日志，包含服务启动、错误信息 | grep "error" /var/log/messages |
系统故障排查 |
/var/log/auth.log |
认证日志（Ubuntu/Debian） | cat /var/log/auth.log |
用户登录、权限变更 |
/var/log/dmesg |
内核启动日志 | dmesg | grep -i "error" |
硬件、内核错误 |
/var/log/audit/audit.log |
审计日志（需开启auditd） | ausearch -i -ts today |
安全审计 |
使用journalctl查看systemd日志
现代Linux发行版多使用systemd，日志可通过journalctl统一管理：
- 查看所有日志：
journalctl - 查看内核日志：
journalctl -k - 查看特定服务的日志（如sshd）：
journalctl -u sshd - 实时跟踪日志：
journalctl -f
通过审计系统（auditd）查看详细操作记录
auditd是Linux内核的审计系统，可记录文件访问、系统调用、用户操作等详细事件，需手动启用：
安装并启用auditd
sudo yum install auditd -y # CentOS/RHEL sudo apt install auditd -y # Ubuntu/Debian sudo systemctl enable --now auditd
设置审计规则
监控/etc/passwd文件的访问：
sudo auditctl -w /etc/passwd -p wa -k passwd_access
参数说明：-w监控文件路径，-p权限（r读、w写、x执行、a属性修改），-k为规则添加关键字。
查看审计日志
使用ausearch和aureport分析审计日志：
- 按关键字搜索：
ausearch -k passwd_access - 按时间搜索（如今天）：
ausearch -i -ts today - 生成审计报告：
aureport -au（用户活动摘要）
通过登录记录和进程查看用户活动
查看用户登录历史
last：显示所有用户的登录记录，包括登录时间、终端、IP地址：last
lastb：显示失败的登录尝试（需开启/var/log/btmp）：lastb
查看当前登录用户
who：显示当前登录用户、终端和登录时间：who
w：显示当前用户及其进程信息：w
查看Linux操作记录需根据场景选择工具：日常命令操作用history，系统日志用/var/log/文件或journalctl，安全审计用auditd，登录记录用last/who，合理配置日志轮转（如logrotate）可避免日志文件过大，确保记录可追溯性。
相关问答FAQs
Q1: 如何永久保存历史命令，避免退出会话后丢失？
A: 历史命令默认保存在~/.bash_history，若发现退出后命令丢失，可能是HISTFILESIZE设置过小或权限问题，可通过以下步骤解决：
- 检查
.bash_history文件权限：ls -la ~/.bash_history，确保当前用户可写； - 修改
~/.bashrc，添加以下配置并生效（source ~/.bashrc）：export HISTSIZE=10000 export HISTFILESIZE=20000 export HISTCONTROL=ignoredups:ignorespace # 忽略重复命令和命令前的空格 shopt -s histappend # 追加历史，而非覆盖
Q2: 如何查看特定用户在某个时间段内的操作记录？
A: 可结合历史命令和系统日志综合排查：
- 查看该用户的历史命令文件（需root权限）：
sudo cat /home/用户名/.bash_history | grep "关键字"
- 查看该用户的登录记录：
sudo last -f /var/log/wtmp 用户名 # 登录成功记录 sudo lastb -f /var/log/btmp 用户名 # 登录失败记录
- 若开启auditd，可通过时间范围和用户过滤：
sudo ausearch -ts "2024-01-01 10:00:00" -te "2024-01-01 12:00:00" -ru 用户名
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/32555.html
