Linux 取证135 条

进程记账（psacct/acct）历史命令

开启进程记账后系统持续记录每个进程的启动者、命令名与结束时间，用 lastcomm、sa、ac 查询，是 shell 历史之外的执行证据。

文件	/var/account/pacct
命令	lastcomm、sa、ac -p

示例

lastcomm --user alice | head -20
ac -p | head
sa -u | head -20

记账需要 acct 或 psacct 服务处于运行状态，未开启则没有数据。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌