在 Linux 系统中，查看用户操作记录对于系统管理和故障排除至关重要。我们可以通过查看用户操作日志了解用户在系统上执行了哪些操作，从而发现潜在的安全威胁或性能问题。
last 命令
last 命令用于显示最近登录到系统的用户列表。它提供了用户登录时间、IP 地址和终端信息。例如：
shell
last
wtmp 文件
wtmp 文件存储了所有用户登录和注销的记录。使用 last 命令实际上是读取 wtmp 文件并对其进行格式化。我们可以直接查看 wtmp 文件以获取更多详细的信息：
shell
cat /var/log/wtmp
lastb 命令
lastb 命令用于查看系统启动和关机的记录。它提供了启动和关机日期、时间和原因。例如：
shell
lastb
tail -f /var/log/auth.log
auth.log 文件记录了与身份验证相关的事件，包括成功和失败的登录尝试。使用 tail -f 命令可以实时查看 auth.log 文件，以便监视用户操作：
shell
tail -f /var/log/auth.log
auditd
auditd 是一个强大的审计系统，可以记录各种用户操作和事件。通过启用 auditd 并配置适当的审计规则，我们可以记录更加全面的用户操作日志。例如，我们可以记录文件访问、进程执行、网络连接等操作。
额外提示
除了上述 外，还可以使用其他工具来查看用户操作，如：
- acct：记录用户资源使用情况。
- sysstat：收集系统性能数据，包括用户活动信息。
- ps：显示正在运行的进程，可用于识别用户正在执行的任务。
通过掌握这些工具和 ，我们可以有效地监控用户操作，保障系统安全性和性能。
