btmp, wtmp, faillog, lastlog

[phaoost]

подскажите, что это за файлы в /var/log и чем их есть?

[Llama]

phaoost,
по поводу двух последних - см. лог syslog и ман по нему.

[sshd]

логи системы это... если очень грубо выращатся...

[phaoost]

это понятно, а кто и что в них пишет...

[Llama]

phaoost, на насчет последних двух - я ж сказал - syslog, а уж кто передает сообщения для записи - см. в самом логе... Это может быть любой процесс.

[phaoost]

поиск в man syslogd (lastlog, faillog) ничего не даёт :-\ или я не так ищу?
cat /var/log/syslog | egrep 'lastlog | faillog' тоже...

[rain]

поиск в man syslogd (lastlog, faillog) ничего не даёт

Какая-то неправильная у Вас система

faillog(8) Команды управления системой faillog(8)

faillog - показывает записи из файла faillog или задаёт предел
неудачных попыток входа в систему

faillog [параметры]

faillog форматирует содержимое журнала неудачных попыток из файла базы
данных /var/log/faillog. Также, она может быть использована для
управления счётчиком неудачных попыток и его пределом. При запуске
faillog без параметров выводятся записи faillog только тех
пользователей, у которых имеется хотя бы одна неудачная попытка входа.

Возможные параметры команды faillog :

-a, --all
Показать записи faillog для всех пользователей.

-h, --help
Показать краткую справку и закончить работу.

-l, --lock-time SEC
Блокировать учётную запись на SEC секунд после неудачной попытки
входа.

-m, --maximum MAX
Установить максимальное число неудачных попыток входа равной
MAX, после чего учётная запись блокируется. Если MAX равно 0, то
количество неудачных попыток не ограничивается. Максимальное
значение неудачных попыток должно быть всегда равно 0 для root ,
для того чтобы предотвратить атаку отказа в обслуживании на
систему.

-r, --reset
Обнулить счётчик неудачных попыток входа для всех записей или
для одного пользователя, заданного параметром -u LOGIN. Для
этого требуются права на запись в файл /var/log/faillog.

-t, --time DAYS
Показать записи faillog новее чем (дней) DAYS. -t отменяет
действие параметра -u.

-u, --user LOGIN
Показать запись faillog или изменить счётчики и пределы (если
задан параметр -l, -m или -r ) только для учётной записи с
именем LOGIN.

faillog выводит только записи о пользователях, последняя попытка входа
которых была неудачной. Чтобы увидеть запись о пользователе, последняя
попытка входа которого была удачной, вы должны специально указать имя
пользователя с помощью параметра -u или вывести записи о всех
пользователях с помощью параметра -a.

/var/log/faillog
содержит журнал неудавшихся попыток входа в систему

login(1), faillog(5).



Команды управления системой 03/11/2006 faillog(8)

lastlog(8) Команды управления системой lastlog(8)

lastlog - показывает файл lastlog

lastlog [параметры]

lastlog упорядочивает и выводит содержимое файла /var/log/lastlog ,
который содержит даты последнего входа пользователей систему. Выводятся
имя пользователя, порт и дата последнего входа в систему. По умолчанию
(вызов без параметров) показываются записи файла lastlog,
отсортированные согласно расположению пользователей в файле
/etc/passwd.

Возможные параметры команды lastlog :

-b, --before DAYS
Показать записи lastlog за последние DAYS.

-h, --help
Показать краткую справку и закончить работу.

-t, --time DAYS
Показать записи lastlog новее чем DAYS.

-u, --user LOGIN
Показать запись lastlog только для указанного пользователя
LOGIN.

-t отменяет действие параметра -u.

Если пользователь никогда не регистрировался в системе, то будет
показано сообщение **Никогда не входил в систему** вместо названия
порта и даты.

lastlog -- это база данных, которая содержит информацию о последней
регистрации в системе каждого пользователя. Вы не должны применять к
нему ротацию журнальных файлов. Этот файл является разреженным, поэтому
его размер на диске гораздо меньше, чем показывает команда "ls -l"
(которая может показывать, что это очень большой файл, если
идентификаторы пользователей в системе достигают больших значений).
Чтобы увидеть реальный размер введите "ls -s".

/var/log/lastlog
содержит даты последнего входа пользователей систему

Большие промежутки в значениях идентификаторов пользователей приводят к
тому, что программа некоторое время ничего не выводит на экран (то
есть, если mmdf=800 и последний UID=170, то во время обработки UID с
171 по 799 программа кажется повисшей).

Команды управления системой 03/11/2006 lastlog(8)

[Llama]

phaoost, естественно - файлы эти могу называться произвольтным образом, см конфиг сислога и ман по нему.

[tungus]

wtmp - см. man 5 wtmp

[red f0x]

wait: [uw]tmp - по-ходу связаны с аккаунтингом логинов/логаутов, если мне память с кем-то не изменяет. И писать туда должен тот, кто пускает юзера в систему, ergo - getty, или что-то связанное с PAM. Не уверен, но наверно это getty рук дело. faillog - и так всё ясно - аудит неудачных попыток залогиниться, lastlog - ответ уже есть выше. ИМХО, их пишет не syslog - записи-то бинарные, а syslog пишет открытым текстом.