【last】 ログイン履歴を表示するコマンド

last コマンドは、システムにログインしたユーザの履歴を一覧で確認できるツールです。

実行すると、各ユーザのログイン日時やログアウト時間、接続元のIPアドレスなどが表示され、サーバの利用状況やセキュリティ監査に役立ちます。

LinuxやUNIX系の環境で広く利用されています。

基本構文と主なオプション

基本文法の説明

ログイン履歴を表示するコマンドは主にlastとして実行され、サーバーやシステムへのログイン、ログアウトの記録が表示されます。

基本的な文法は以下のようになっています。

• last [オプション]

この形式で実行すると、記録ファイル(通常は/var/log/wtmp)から最新のログイン履歴が順次出力されます。

• コマンドの実行例

last

このように実行することで、システムに記録された全てのログイン／ログアウトの履歴を確認することが可能です。

シンプルながら多くのオプションが用意されており、必要な情報に応じて出力内容を絞り込むことができます。

主なオプションの詳細説明

オプションを利用することで、表示する情報の範囲や形式を細かく指定することができます。

それぞれの詳細について説明します。

ログイン日時指定オプション

ログイン日時指定オプションは、特定の期間や日時に絞って履歴を表示するための機能です。

例えば、過去数日または特定の時間帯のログイン記録を抽出する際に利用されます。

• 使用例：

last -s "2023-10-01" -t "2023-10-10"

この例では、2023年10月1日から10月10日までのログイン履歴だけが表示されます。

• 主な役割：
  • 履歴のフィルタリングにより大規模なログ出力から目的の期間のみを抽出
  • セキュリティ監査やシステムトラブルシューティングの際に有効

接続元IP表示オプション

接続元IP表示オプションは、ログイン元のIPアドレスを強調して出力するための機能です。

リモートからのアクセス状況を把握する際に役立ちます。

• 使用例：

last -i

この例では、ログイン履歴に接続元のIPアドレスが併記されるため、各セッションの発信元が明確に確認できます。

• 主な役割：
  • 不正アクセスの早期検出に貢献
  • ネットワーク管理における接続元の監視が容易に

出力結果の解析

各表示項目の意味

lastコマンドの実行結果には複数の項目が含まれており、それぞれが以下のような意味を持ちます。

• ユーザ名：ログインしたユーザの名前が表示される
• 端末情報：実際にアクセスされた端末名やデバイスIDが示される
• 接続元IP：リモートアクセスの場合、アクセス元のIPアドレスが記載される
• ログイン日時：各セッションの開始時刻や終了時刻が記録される

ユーザ名と端末情報の把握

コマンド出力の先頭部分にはユーザ名が表示され、誰がシステムにログインしたのかが一目で分かります。

また、端末情報として、使用されたターミナルの名称やデバイス番号が出力されるため、利用状況の詳細が解析可能です。

• 確認ポイント：
  • 特定ユーザのログイン履歴を確認する際にユーザ名でフィルタリングができる
  • 複数端末が使用されている場合、端末ごとの接続状況を把握することが可能

時間情報の解釈方法

出力結果にはログイン開始時間、ログアウト(または切断)時間が記録されます。

一部のセッションでは、現在も接続中の場合「still logged in」と表示されることもあります。

• 判別方法：
  • ログインとログアウトの時刻差からセッションの継続時間を確認
  • 切断されていない場合、表示が特定の形式(たとえば、タイムスタンプの右側にstill logged inがある)となっている

継続中セッションの判別方法

出力結果から継続中のセッションを判別するためには、終了時刻のフィールドに「still logged in」などの表示があるかどうかを確認します。

• 判別手順：
  • 各行のログタイムスタンプの右側に注意する
  • 「still logged in」と記載されている場合は、そのユーザが現在もシステムに接続していると判断できる
• 活用例：
  • リアルタイムでシステムに接続しているユーザ数を把握できる
  • 不要な接続を確認し、必要に応じたセッション管理の見直しが可能

使用例

単純な実行例

最も基本的な使用例として、引数を省略して単にlastコマンドを実行するケースを紹介します。

以下のような手順でログイン履歴を表示できます。

• コマンド入力例：

last

• 出力例：
  • 各行にはユーザ名、端末情報、接続元IP、ログイン日時、ログアウト日時またはセッションの継続状態が表示される
  • 最新のアクセス順に並んでいるため、直近のログイン状況がすぐに確認できる

特定条件での履歴抽出例

必要に応じた履歴抽出を行うことで、特定のユーザや時間範囲に絞った情報の確認が可能です。

ユーザ名によるフィルタリング

特定のユーザに限定してログイン履歴を抽出する場合、ユーザ名を明示して実行することで目的の情報を得られます。

• 使用例：

last username

上記のように実行することで、usernameという名前のユーザに関する履歴だけが表示されます。

• 利点：
  • 個々のユーザの接続履歴を迅速に確認できる
  • 複数ユーザの利用状況を比較する際にも有効

期間指定による検索例

特定の期間に限定したログイン履歴を確認する場合、日時指定オプションを併用することで、効率的に情報を取り出すことができます。

• 使用例：

last -s "2023-10-01" -t "2023-10-10" username

この例では、2023年10月1日から10月10日までの期間に、usernameで記録されたログイン履歴が抽出されます。

• 利点：
  • 長期間でのログインパターンの変化を把握できる
  • セキュリティ監査の目的で特定期間の記録を調査する際に役立つ

システム管理での利用

セキュリティ監査での活用方法

システム管理者やセキュリティ担当者は、lastコマンドを利用することでシステムへのログイン動向を確認し、不審なアクセスの有無を調査することができます。

• 利用ポイント：
  • 定期的な監査により、通常と異なるアクセスパターンを検知する
  • 記録されたログイン履歴から、不正ログインや不審なIPアドレスの特定が可能
• 活用例：
  • セキュリティポリシーの遵守状況を確認するために、定期的にログイン履歴を抽出
  • 不正アクセスが疑われる場合、直ちに対応措置を講じるための初期調査に役立つ

ログ管理との連携事例

ログ管理システムや監視ツールと連携させることで、lastコマンドの出力結果を自動で収集・解析し、システム全体のセキュリティ状況を把握することができます。

自動化スクリプトとの組み合わせ

自動化スクリプトを使用して、定期的にlastコマンドを実行し、出力結果をファイルに保存することで、長期間のログ管理が可能になります。

• 利用例：
  • シェルスクリプトやPythonスクリプトでlastコマンドを定期実行し、結果をログファイルとして保存する
  • 保存されたログファイルを解析ツールに取り込み、アクセスパターンの変化や異常を自動で検知する
• メリット：
  • 手動でのログ確認にかかる手間を削減できる
  • 大量のログデータから自動化により早急な対応が実現できる

エラー対応と注意事項

よくあるエラーの種類

lastコマンドの実行時には、いくつかのエラーが発生する場合があります。

以下は主なエラーの種類です。

• 権限不足エラー

ログファイルへのアクセス権が無い場合、実行エラーが発生することがある

• ファイル不在エラー

記録ファイル(/var/log/wtmpなど)が存在しない、または破損している場合、適切な出力が得られない

• オプションの誤使用エラー

存在しないオプションや不正な形式でオプションが指定された場合、エラーが表示される

エラー発生時の対応方法

エラーが発生した際には、以下の対応策を検討することが推奨されます。

• 権限確認
  • コマンド実行前に、対象ファイルへの読み取り権限を確認する
  • 必要に応じてスーパーユーザ権限(sudoなど)で実行する
• 記録ファイルの存在確認
  • 指定されているログ記録ファイルが存在するか、ディスク上で確認する
  • ファイルが破損していないか、バックアップと照合する
• オプションの再確認
  • 使用しているオプションや引数が正しい形式で記述されているか、公式ドキュメントなどで確認する
  • 誤ったオプションが指定されている場合、適切なものに修正する

このような対応策を講じることで、lastコマンド利用時のトラブルを最小限に抑えることができます。

まとめ

この記事では、lastコマンドの基本構文や主なオプションの使用方法、出力結果の各項目の意味と継続中セッションの判別法、さらに具体的な使用例やセキュリティ監査・ログ管理での応用、エラー発生時の対応方法について詳細に解説しております。

これらの情報を通して、効果的なログイン履歴の解析と運用に役立つ知識が得られます。