FORENSE
¿Quién entró a tu servidor?
Tu servidor lleva un registro de cada persona que entra, y casi nadie lo mira.
last te muestra los últimos accesos: quién, desde dónde, y a qué hora. Si ves una dirección o una hora que no cuadran, algo pasa.
En el log de autenticación ves también los intentos fallidos, esos bots que golpean tu clave día y noche. Revisar quién entra, y quién lo intentó, es lo primero que hace cualquiera que cuide un servidor.
Míralo hoy en el tuyo.
# los comandos
root@srv:~# last -aF | headcopiartu 192.168.1.10 viernes 14:02
??? 45.9.x.x 03:11 <- raro
root@srv:~# grep 'Failed password' /var/log/auth.log | wc -lcopiar8422 <- fuerza bruta
root@srv:~# grep 'Accepted' /var/log/auth.log | tailcopiar