DFIR
¿Quién y cuándo entró?
Los registros de acceso te dicen quién entró, desde dónde y cuándo.
El comando last lee los inicios de sesión exitosos; busca IPs desconocidas o conexiones a horas raras. lastb muestra los intentos FALLIDOS, o sea la fuerza bruta.
Y con lastlog ves el último acceso de cada cuenta, útil para detectar una cuenta dormida que de repente se usó. Si una cuenta de servicio, que nunca inicia sesión, aparece conectada, algo pasó.
# los comandos
analyst@victim:~# last -aF | headcopiarroot pts/1 Wed Aug 5 02:14 still logged in 185.244.x.x
analyst@victim:~# lastb | head -3copiaradmin ssh:notty 185.244.x.x (842 intentos)
analyst@victim:~# lastlog | grep -v 'Nunca\|Never'copiar