Linux 取证135 条

账号创建与删除痕迹

账号增删会在认证日志、家目录与组文件中留下多重痕迹，交叉验证可确认操作时间与操作者。

日志	auth.log 中 useradd/userdel 记录
文件	/home/<用户>、/etc/group、/etc/passwd 的时间

检索

grep -E 'useradd|userdel|groupadd' /var/log/auth.log | tail -20
ls -ld --time-style=long-iso /home/* | head

auditd 对 /etc/passwd 与 /etc/group 设 -w 监视后可直接定位写入进程。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌