slacky.eu

ciao,
ho notato che i log registrati da /var/log/wtmp, che rispondono al comando last e lastlog, sono ripartiti oggi, senza lasciare traccia dei vecchi login...
è normale?

Di solito, quando si entra senza permesso, la prima cosa che si fa è cancellare le tracce...

si infatti questo lo so è per questo che mi preoccupavo un pò, solo può darsi anche che funzioni come il logrotate per i messages, infatti ho visto un file wtmp.1

Sì, per leggere i vecchi puoi usare:
last -f wtmp.1

Così vedi se c'è tutto

ho controllato wtmp.1 e manca roba relativa ad un solo utente, che però è un'utenza autorizzata!
con il software wzap si può riscrivere il wtmp cancellando arbitrariamente le entry di un utente!
poi un'altra cosa strana, sempre guardando il wtmp.1, ci sono solo le entry di gennaio e dicembre!
comunque parrebbe che il wtmp si riavvi una volta all'anno?!!
se fosse così, non lo sapevo di questa cosa!
comunque ora proverò, quando sono lontano dalla macchina, ad attivare il keylogger, per vedere se ci fossero intrusioni!
Grazie a tutti per ora!