¡Quién estuvo usando mi máquina!!!!!!

[Emilio R.]

Si nos vamos al "Menú Principal > Sistema > Administración > Visor de archivos de procesos" nos encontraremos con una aplicación que lee lo que se denomina archivos log (archivos de registro). Todos los programas (o su gran mayoría) llevan un registro de sus eventos, sobre todo aquellos eventos que implican un fallo de cualquier índole. En Linux está especificado que dichos registros se guardan en /var/log.
A modo de ejemplo usaremos los archivo log para implantar la discordia en la familia o en el trabajo. Lo que vamos hacer con ellos es consultarlos para ver si alguien ha intentado ingresar en nuestro home. Para ello incurramos en el siguiente ejercicio:

1) Reiniciemos la máquina y cuando aparezca la pantalla de login (o de autenticación) haremos lo siguente:
2) Ingresemos mal nuestro nombre de usuario. Pongamos cualquier nombre en lugar del que realmente debe ir. Luego coloquemos la clave correcta. Es evidente que el sistema nos rechazará y nuevamente nos pedirá identificarnos.
3) Ahora hagamos lo inverso. Coloquemos el nombre de usuario correctamente y la clave incorrecta. Nuevamente el sistema nos rechazará y solicitará nuevamente la identificación.
4) Ahora coloquemos ambos elementos incorrectamente, tanto el nombre como la clave; y nuevamente rebotaremos.
5) Finalemente colocaremos el nombre y la clave correctamente e ingresaremos al sistema.
6) Tomemos nota de la hora aproximada en que realizamos el ejercicio (la hora que figura en el sistema).

Ahora no vamos a "Menú Principal > Sistema > Administración > Visor de archivos de procesos". En el planel izquierdo seleccionemos al archivo auth.log. Este archivo lleva registro de las aplicaciones dedicadas a las autenticaciones. Se nos aparecerá un listado de días de la semana con el día del mes y el mes en sí. Seleccionemos entonces el día que se corresponde con el día en que el ejercicio se realiza (ufff, con el día de hoy). En el panel derecho quedarán filtrado el resto de los registros y a nuestra disposición sólo los eventos de autenticación realizados en ese día. Entonces busquemos la expresión "failure". Lo podemos hacer con Ctrl+f o con el menú de la barra principal "Vista > Buscar". Lo que nos interesa a nosotros son los mensajes del programa "gdm" que aparece al lado del nombre que le hemos puesto a la máquina. gdm es el programa que usa Gnome para reconocer a sus usuarios.
Ahora cotejemos lo que el buscador nos presenta con la hora en que hemos provocado los errores con el ejercicio que antes realizamos. Notaremos que el sistema nos botonea (acusa) la hora, el día y el mes en que Tuquito estuvo rebotando gente en el momento de la autenticación y en qué le estuvieron chingando.

Un ejercicio similar pueden hacer para ver qué se registra cuando se autentican mal al querer ejecutar un comando como root.

Suerte.