last — 로그인 이력 조회

Linux / 서버 로그 기록 및 분석 / last.html

과거 로그인·로그아웃 기록을 최근 순으로 보여주는 명령어.

기본 정보

이 명령어는 무엇인가?

last는 /var/log/wtmp에 기록된 로그인·로그아웃 이벤트를 최근 순으로 출력합니다. 사용자, 터미널, 접속 출발지, 시작·종료 시각, 지속 시간이 표시됩니다.

실패한 로그인은 lastb(btmp)로 확인합니다. 다만 wtmp는 순환·압축되거나 배포판에 따라 wtmpdb로 대체되므로, 장기 감사에는 별도 로그 수집이 필요합니다.

어떤 문제를 해결하는가?

• 누가 언제 접속했는지 이력을 확인할 때
• 비정상 시간대의 원격 접속을 추적할 때
• 재부팅과 세션 종료 시각을 대조할 때
• 장애 직전 어떤 계정이 로그인했는지 볼 때

주요 기능

최근 이력

기본 실행으로 최근 로그인 기록을 역순으로 보여줍니다.

• 활용 상황: 최근 접속 흐름을 볼 때
• 얻는 결과: 세션 지속 시간까지 확인됩니다.
• 제한 사항: wtmp가 비어 있으면 출력이 없습니다.

사용자별 조회

사용자 이름을 주면 해당 계정만 표시합니다.

• 활용 상황: 특정 계정의 접속 이력을 볼 때
• 얻는 결과: 감사 대상을 좁혀 확인할 수 있습니다.
• 제한 사항: 삭제된 계정은 UID로 남을 수 있습니다.

실패 기록

lastb는 btmp의 실패 로그인을 보여줍니다.

• 활용 상황: 무차별 대입 시도를 확인할 때
• 얻는 결과: 실패한 출발지와 횟수를 파악할 수 있습니다.
• 제한 사항: btmp는 기본 권한상 root만 읽을 수 있습니다.

설치 및 실행

설치 여부 확인

last --version

sudo apt install util-linux # Debian/Ubuntu sudo dnf install util-linux # Fedora

실제 사용 예제

최근 로그인

최근 세션 기록을 확인합니다.

last | head -n 20

특정 사용자

한 계정의 이력만 추립니다.

last alice | head -n 20

실패 로그인

실패 기록을 확인합니다(root 필요).

sudo lastb | head -n 20