¿El otro tipo está contigo? Si no tiene acceso físico o acceso de root, puede borrar todos sus rastros e incluso plantar un error para espiar a usted . Por otro lado, algunos rastros son difíciles de borrar, y es difícil pensar en todo.
Ya se han registrado varias cosas en los registros del sistema, generalmente en /var/log(algunos sistemas usan una ubicación diferente, como/var/logs o /var/adm). Bajo una configuración normal, se registran todos los inicios de sesión y montajes, entre otros. Si le preocupa que se borren los registros, puede configurar el registro remoto (cómo hacerlo depende de la implementación de syslog, pero generalmente es una o dos líneas para cambiar en un archivo de configuración en el remitente y en el receptor).
Si usted o su distribución no ha deshabilitado esta función, cada archivo tiene un tiempo de acceso ("atime") que se actualiza cada vez que se lee el archivo. (Si el sistema de archivos se monta con la opción noatimeo relatime, el atime no se actualiza). El atime se puede falsificar contouch -a , pero esto actualiza el ctime, por lo que deja un rastro. (Incluso la raíz no puede eliminar directamente este rastro, debe omitir el código del sistema de archivos).
Varios programas tienen un historial de sesiones . Es fácil de eliminar o falsificar, si el intruso se acordó de hacerlo. Bash mantiene ~/.bash_history, los navegadores tienden a escribir muchas cosas en su directorio de perfil, y así sucesivamente. Usted también puede encontrar contando errores o advertencias en ~/.xsession-errorso /var/log/Xorg.0.logu otro sistema dependiente de ubicación.
Muchas unidades tienen una función de contabilidad de procesos . Consulte, por ejemplo, el manual de utilidades de contabilidad de GNU , la entrada en el manual de FreeBSD o el tutorial de Linux o la guía de Solaris . Una vez habilitado, registra qué usuario lanzó qué proceso y cuándo (registraexecve llamadas), y tal vez un poco más. Hay mucha información interesante que no registra, como los archivos a los que accede el proceso.
Si desea monitorear todos los accesos a un sistema de archivos, puede proporcionarlo a través defsf . Es muy fácil notar si el tipo piensa mirar.
Hay programas de registro más completos, pero pueden requerir soporte adicional del núcleo. En Solaris, FreeBSD, NetBSD y Mac OS X, hay dtrace (hay un puerto de Linux en progreso pero no sé si ha alcanzado una etapa utilizable). También puede rastrear procesos específicos a través de una interfaz hasta la ptracellamada del sistema, por ejemplo straceen Linux; Puede inducir una desaceleración notable.
¹ ¿ Algo que no está en Wikipedia? No, eso es una locura.