Linuxでsudoの実行履歴を確認する方法

パソコンを他の人と共有していて、相手にsudo権限を付与している場合、その使い方を監視しておくのが賢明です。幸い、sudoの履歴は簡単に確認できます。この記事では、その具体的な方法をご紹介します。

認証ログを確認する

Linuxでは多くのサービスがログを記録しており、トラブルシューティングの際に役立ちます。そして嬉しいことに、その中にはまさに本記事で探している情報が詳細に記録されています。このログを見れば、誰が・いつ・どのコマンドをsudo経由で実行したのかを確認できます。

Debian系やUbuntu系のディストリビューションをお使いの場合は、お好みのターミナルで以下のコマンドを実行してください。

sudo nano /var/log/auth.log

その他のディストリビューションでは、ログの保存場所が異なる場合があります。「/var/log/secure」や「/var/log/audit/audit.log」に記録されていることもあります。ログファイルの場所が分からない場合は、sudoersファイルを確認しましょう。sudoersファイルもディストリビューションによって場所が異なりますが、通常は「/etc/sudoers」にあります。お好みのテキストエディタで開き、「logfile」というエントリを検索してください。その値が目的のログファイルの保存先ですので、上記コマンドのパスを読み替えて実行しましょう。

grepで必要な情報だけを抽出する

ログファイルには、関心のないエントリが大量に含まれています。ひたすらスクロールして目視で確認することもできますし、テキストエディタの検索機能を使ってsudoの使用箇所を探すことも可能です。

しかし、より効率的なのはgrepコマンドを使う方法です。シンプルな条件でログの内容を絞り込めるため、必要な情報だけを素早く取り出せます。ログ内のすべてのsudo関連エントリを抽出するには、以下のコマンドを実行します。

sudo grep sudo /var/log/auth.log

ログのパスは、お使いのディストリビューションに合わせて正しいものに変更してください。

このコマンドを実行すると、抽出結果がターミナルに直接表示されます。

結果をファイルとして保存しておきたい場合は、コマンドの後ろにリダイレクトを追加します。

sudo grep sudo /var/log/auth.log > sudolist.txt

出力されたファイルを開くと、日付・時刻・コンピュータ名・実行されたコマンドを含む一連のエントリが確認できます。

通常のBash履歴を確認する

sudoに限らず、ターミナルに入力されたすべてのコマンドを確認したいだけであれば、ホームフォルダにある「.bash_history」ファイルをチェックしましょう。例えば、ターミナルで以下のように入力します。

sudo nano /home/USERNAME/.bash_history

これで、自分自身(または他のユーザー)がターミナルで実行したすべてのコマンドの一覧が表示されます。

sudoの履歴の確認方法が分かったところで、PCを一人で使っている場合はsudoのパスワード入力を無効化する方法や、sudoのパスワードをアスタリスク(*)で表示させる方法も合わせて覚えておくと、さらに快適にLinuxを運用できるでしょう。