Co to jest i do czego służy plik /var/log/btmp w Linux?

Plik /var/log/btmp w Linux (np. Ubuntu) zapisuje wszystkie nieudane próby logowania do systemu. Jest to specjalny binarny log, którego nie można czytać zwykłym cat, lecz trzeba używać narzędzi takich jak lastb.

Szczegółowe wyjaśnienie

• Lokalizacja:
  • /var/log/btmp
• Cel:
  • Rejestruje każde nieudane logowanie (np. błędne hasło, próba logowania na nieistniejące konto).
• Format:
  • Plik binarny – nie jest przeznaczony do bezpośredniego czytania.
• Powiązane pliki:
  • utmp – aktualnie zalogowani użytkownicy.
  • wtmp – historia wszystkich logowań i wylogowań.
  • btmp – historia nieudanych logowań.

Jak sprawdzić zawartość /var/log/btmp

1. Polecenie lastb:bashlastb Wyświetli listę nieudanych logowań (użytkownik, czas, źródło IP/tty).
2. Ograniczenie wyników:bashlastb -n 10 Pokazuje ostatnich 10 nieudanych prób.
3. Sprawdzenie rozmiaru pliku:bashls -lh /var/log/btmp Jeśli plik jest bardzo duży, oznacza to wiele nieudanych prób (np. ataki brute-force).

Dlaczego to ważne?

• Bezpieczeństwo:
  • Analiza btmp pozwala wykryć próby włamania, np. boty skanujące SSH.
• Monitorowanie:
  • Administratorzy często sprawdzają lastb, aby ocenić ryzyko i podjąć działania (zmiana hasła, blokada IP).
• Rotacja logów:
  • Plik może szybko rosnąć na serwerach wystawionych do internetu. Dlatego systemy logrotate zwykle rotują btmp (np. /etc/logrotate.d/btmp).

Podsumowanie znaczenie plików historii logowania w tabeli

Podsumowanie

Plik /var/log/btmp to log nieudanych logowań w Ubuntu/Linux. Do analizy używa się polecenia lastb. Warto go monitorować, bo duża liczba wpisów może oznaczać atak brute-force na serwer.