ユーザーが最後にパスワードを変更した正確な日付/時刻を見つける

Question 1

最近のパスワード変更は-Sで確認できます

# passwd USERNAME -S 
USERNAME PS 2020-11-27 0 99999 7 -1 (SHA512.)

Answer

最近のパスワード変更は-Sで確認できます

# passwd USERNAME -S 
USERNAME PS 2020-11-27 0 99999 7 -1 (SHA512.)

Question 2

ログには、いつ誰が実行したかを示すエントリがpasswd次のように表示されます。

Mar 31 12:41:41 UBUNTU sudo: daniel : TTY=pts/1 ; PWD=/dev ; USER=root ; COMMAND=/usr/bin/passwd root
Mar 31 12:41:52 UBUNTU passwd[25160]: (pam_unix) password changed for root
Mar 31 12:41:52 UBUNTU passwd[25160]: (pam_unix) Password for root was changed

ログファイルはディストリビューションによって異なりますが、どこかにあるはずなので/var/log、次のような方法ですべてを検索できます (古い gz 形式のファイルは除く、試してみてくださいzgrep)。

grep -R -i passwd /var/log/*

おそらく/var/log/auth.logDebianか/var/log/secureRedhatだろう

ただし、このユーザーがコマンドを実行できる場合は、ログを編集することもできます...したがって、無制限の sudo アクセスに注意してください。

より詳しい情報：

ルートパスワードの変更は記録されますか?
「sudo su -」内のコマンドをログに記録するにはどうすればよいですか?- sudoers、auditctl、snoopylogger などに log_input/output を追加します。
すべてのユーザーが実行したsudoコマンドの詳細
sudo インシデントはどこに記録されますか?- 最高： "リモートでログに記録されます:xkcd.com/838「

Answer