[salvage]

Witam, Jak sprawdzić w logach systemowych, czy ktoś znający hasło administratora zalogował się przez sieć do systemu Mac OS X Leopard i pobrał jakieś dane?

[Haseo]

Dane logowania znajdują się w pliku secure.log. W konsoli podejrzyj sobie ten plik i w polu szukaj wpisz sshd, to powinno pokazać ci kto logował się przez ssh. Oby ten ktoś okazał się idiotą i nie pokasował logów. W przeciwnym razie może być ciężko.

[salvage]

Dzieki za help, gdyz nigdy na macu nie potrzebowalem sprawdzac takich rzeczy i nie bylem pewien czy szukam we wlasciwym miejscu. Przejrzalem logi i nie znalazlem zadnej informacji o logowaniu, natomiast same logi sa. Czy mozliwe jest wykasowanie tylko czesci rekordow dotyczacych logowania, czy jedyna opcja jest wykasowanie calego pliku secure.log. Jest jeszcze jakas inna opcja polaczenia niz przez ssh?

[ftpd]

Oczywiście, że można skasować kawałek loga.

[Jenot]

Ech..... najprościej - w terminalu wpisać "sudo last", albo "sudo last |grep console" (to drugie wyrzuci z listy otwarcia okna terminala).

[salvage]

Komenda sudo wyrzucila mi jedynie logowania z ostatniego dnia i bez jakichkolwiek danych oprocz godziny. Ale tak jak kolega napisal jesli ktos wyczyscil logi to jest po temacie, chyba ze ktos z was chlopaki ma jakis jeszcze pomysl gdzie mogl zostac slad.

[Haseo]

Ech..... najprościej - w terminalu wpisać "sudo last", albo "sudo last |grep console" (to drugie wyrzuci z listy otwarcia okna terminala).

To też da się*wykasować : >
@salvage
Ostatnie co mi przychodzi do głowy, to zawartość*pliku .bash_history w katalogu domowym użytkownika, ale tam też chyba zrobił "porządek". Sugeruję instalację od zera + zmianę haseł; nie muszę chyba podawać*powodów czemu.

[macieks72]

Jak chcesz być pewny że ktoś się do logów nie dobierze to wysyłaj je np. cronem na zdalny serwer. Albo chociażby mailem do siebie (też cron, żeby było automatycznie). Nie wiem czy to dobry pomysł, ale na taki właśnie wpadłem

[Jenot]

To też da się*wykasować : >
@salvage
Ostatnie co mi przychodzi do głowy, to zawartość*pliku .bash_history w katalogu domowym użytkownika, ale tam też chyba zrobił "porządek". Sugeruję instalację od zera + zmianę haseł; nie muszę chyba podawać*powodów czemu.

Ja nie mówię, że się nie da Wszystko zależy jaką wiedzę miał atakujący. Nie wiem jak to jest na MacOS ale na linuksie polecenie last korzysta z pliku chyba wtmp. Ale generalnie wysyłanie logów na zewnętrzny serwer to dobry pomysł.

[thozo]

Tak naprawdę to nie wiadomo czy ktoś atakował, żaden wpis na to nie wskazuje. Ale jakby co to pozamiatane bo ekipa MyApple stoi na straży. Lepiej dla tego kogoś, jakby co, by nie poszedł kontratak, bo może być ciężko... Pozdrawiam