Linux last 指令完整指南：追蹤使用者登入歷史與系統重啟記錄

last 讀取 /var/log/wtmp 二進位日誌，顯示所有成功登入、登出與系統重啟事件。資料不可竄改 (非文字檔)，適合安全稽核、異常登入調查、系統可用性分析。本文詳細說明輸出欄位解讀、常用參數組合與實戰範例。

資料來源與特性

• 來源：/var/log/wtmp (二進位，utmp 結構)
• 記錄事件：使用者登入 (TTY/PTS)、登出、系統重啟、運行等級變更
• 保留期限：由 logrotate 輪轉，通常保留數週至數月
• 對應檔案：/var/log/btmp (失敗登入，lastb 讀取)

輸出欄位詳細解讀

$ last
user1  pts/0  192.168.1.50  Mon Mar 15 10:30 - 12:45  (02:15)
user2  tty1   -              Mon Mar 15 09:15   still logged in
reboot system boot 5.15.0-91   Mon Mar 15 08:00 - 14:30  (06:30)

常用參數完整表

實戰範例

1. 查詢特定使用者登入歷史

last john
last -n 20 john

2. 查詢系統重啟歷史

last reboot
last -x reboot shutdown

3. 查詢特定終端機 (pts/0) 記錄

last pts/0

4. 近 24 小時所有登入活動

last -s $(date -d '24 hours ago' +%Y%m%d%H%M%S)

5. 異常登入偵測：非常用 IP、非工作時間、多地登入

# 最近 100 筆，顯示 IP，找出非內網 IP
last -n 100 -i | awk '$3 !~ /^192\.168\.|^10\.|^172\.(1[6-9]|2[0-9]|3[0-1])\./ && $3 != "-" {print}'

# 非工作時間 (22:00-06:00) 登入
last -F | awk '$5 ~ /(2[2-3]|0[0-5]):[0-5][0-9]/ {print}'

6. 統計使用者總登入時長 (簡易版)

last -F | grep -v 'still logged in' | grep -v 'reboot' | \
awk '{user[$1]+=($7*3600+$8*60)} END {for(u in user) print u, user[u]/3600 " hours"}'

安全稽核最佳實踐

1. 定期備份 wtmp：cp /var/log/wtmp /backup/wtmp-$(date +%F)，防止日誌輪轉遺失歷史。
2. 整合至 SIEM：last -F -i 輸出解析送入 Splunk/ELK/Graylog。
3. 監控 btmp (失敗登入)：lastb -n 20 偵測暴力破解。
4. 帳號停用檢查：last -n 1 $USER 確認最後活動時間，超過 90 天未登入考慮鎖定。

常見問題

總結

last 是 Linux 內建、零依賴的登入稽核利器。掌握 -n/-F/-i/-s/-t 參數組合，配合 awk/grep 即可完成：異常 IP 偵測、非工作時間登入、重啟頻率分析、使用者活躍度統計等安全運營核心任務。