Perintah last Linux: memeriksa riwayat login dan reboot

Perintah last menampilkan riwayat login dan logout, dimulai dari catatan terbaru. Pada implementasi util-linux, perintah ini biasanya membaca /var/log/wtmp dan menunjukkan pengguna, terminal, host, waktu serta durasi sesi yang tercatat.

Ini berguna untuk memeriksa riwayat login pengguna tertentu atau periode tertentu dan untuk memeriksa waktu reboot atau matinya sistem secara tidak normal. Namun, periode ketika wtmp tidak dicatat atau telah dirotasi atau dihapus tidak dapat ditanyakan, dan insiden keamanan tidak boleh disimpulkan hanya berdasarkan catatan ini.

Apa itu perintah last?

last mencari catatan login wtmp dari akhir dan menampilkan entri terbaru terlebih dahulu. Biasanya, Anda dapat memeriksa nama pengguna yang login, terminal yang digunakan (tty atau pts), host atau alamat IP yang terhubung, waktu login dan logout, serta durasi sesi.

wtmp adalah file rekaman biner, bukan log teks; gunakan alat yang memahami formatnya seperti last. Lokasi, pencatatan, dan retensi bergantung pada sistem. Sebagian sistem menggunakan wtmpdb berbasis SQLite dengan implementasi dan pilihan yang dapat berbeda; periksa last --version serta manual setempat.

Sintaks dasar dan membaca output

Sintaks dasar adalah sebagai berikut. Jika nama pengguna atau terminal dihilangkan, itu menampilkan semua rekaman yang tersedia.

last [option] [username|terminal...]

Untuk memeriksa rekaman login terbaru, jalankan sebagai berikut.

last

mina     pts/1        192.0.2.24       Fri Sep 18 21:10 - 22:42  (01:31)
alex     tty1                          Fri Sep 18 19:04 - 19:35  (00:31)
reboot   system boot  6.12.0           Fri Sep 18 18:58   still running

Keluaran di atas bersifat ilustratif. Kolom menunjukkan pengguna, terminal, host atau informasi kernel, lalu waktu dan status sesi; host dapat kosong untuk konsol lokal. Durasi dihitung dari waktu yang lebih rinci, sementara contoh tampilan waktu hanya menunjukkan menit.

wtmp begins di bagian bawah menunjukkan awal rentang yang dibaca dari file, bukan waktu instalasi atau login pertama sistem. Jika file kosong, implementasi util-linux dapat memakai waktu dari metadata file.

Opsi last yang sering digunakan

Nama dan cakupan opsi yang didukung dapat bervariasi tergantung pada implementasi last. Artikel ini didasarkan pada implementasi util-linux yang banyak digunakan di Linux, dan definisi terbaru dapat ditemukan di manual resmi last util-linux.

Menyaring hanya catatan login yang diinginkan

Melihat catatan pengguna tertentu

Dengan menambahkan nama pengguna sebagai argumen, hanya riwayat pengguna tersebut yang ditampilkan.

last mina

Jika Anda mencantumkan beberapa nama pengguna, Anda dapat melihat entri yang cocok dengan salah satunya. Jika nama panjang, mungkin akan dipangkas di keluaran default, sehingga Anda dapat menampilkan bidang penuh menggunakan opsi -w atau --fullnames dari util-linux.

last -w mina alex

Melihat catatan terminal tertentu

Dengan menentukan nama terminal, Anda dapat memeriksa hanya sesi yang dibuat dari terminal itu. pts/0 biasanya terlihat di terminal virtual seperti SSH, dan tty1 dapat mewakili konsol virtual lokal.

last pts/0

Menurut manual, tty0 dapat disingkat menjadi 0, tetapi dalam dokumen dan skrip, menggunakan nama terminal lengkap membuat maksudnya lebih jelas.

Membatasi jumlah output

Untuk memeriksa hanya catatan terbaru dengan cepat, tentukan jumlah maksimum entri dengan -n.

last -n 10

Anda dapat menyingkatnya seperti -10, tetapi format -n 10 lebih mudah dibaca dalam skrip dan dokumen serta menghindari kebingungan dengan opsi lain.

Query berdasarkan periode dan waktu spesifik

Menentukan waktu mulai dan berakhir

-s dan -t membatasi rentang status login; sesi yang tumpang tindih dengan rentang dapat muncul walaupun dimulai sebelumnya. Gabungkan keduanya untuk memeriksa periode tertentu.

last -s '2026-09-01 00:00' -t '2026-09-19 00:00'

Tanggal tanpa jam biasanya ditafsirkan sebagai 00:00 waktu setempat. Dalam util-linux, perbandingan batas dapat mencakup waktu yang sama persis; untuk rentang hari, gunakan awal hari berikutnya sebagai batas lalu periksa entri tepat pada batas tersebut.

Menggunakan Ekspresi Waktu Relatif

Perintah last dari util-linux mendukung ekspresi waktu relatif seperti today, yesterday, now, dan -7days.

last -s yesterday
last -s -7days

Jika Anda perlu membandingkan hasil otomatis secara berulang, lebih baik untuk reproduktifitas menggunakan tanggal dan zona waktu yang eksplisit daripada ekspresi relatif, yang bervariasi tergantung pada waktu eksekusi.

Menemukan Pengguna yang Masuk pada Waktu Tertentu

-p menampilkan pengguna yang masuk pada waktu yang ditentukan. Ini dapat berguna saat memeriksa sesi yang aktif pada saat suatu insiden.

last -p '2026-09-18 21:30'

Hasil dihitung berdasarkan catatan masuk/keluar yang tersisa di wtmp, jadi tidak dapat memulihkan catatan yang hilang atau rusak.

Menampilkan Format Waktu dengan Jelas

Melihat Semua Waktu Masuk/Keluar

Output dasar mungkin menghilangkan tahun atau sebagian waktu untuk mengurangi lebar layar. -F menampilkan tanggal dan waktu lengkap untuk masuk dan keluar.

last -F -n 10

Melihat dalam format ISO dengan zona waktu

Saat membandingkan log dari server lain atau menyampaikan hasil secara eksternal, --time-format iso sangat berguna. Format ISO mencakup informasi zona waktu, yang dapat mengurangi kebingungan dalam menafsirkan waktu.

last --time-format iso -n 10

Saat membandingkan urutan peristiwa di beberapa sistem, periksa juga jam dan zona waktu setiap server.

Memeriksa catatan reboot dan shutdown sistem

Melihat riwayat reboot

reboot adalah pengguna pseudo yang dicatat saat sistem melakukan boot, bukan akun pengguna yang sebenarnya. Perintah berikut menunjukkan riwayat reboot yang saat ini disimpan dalam file wtmp.

last reboot

Rentang tampilan sampai data wtmp yang saat ini disimpan. Jika reboot lama tidak terlihat, mungkin bukan karena tidak ada catatan, tetapi karena catatan tersebut telah diputar.

Menampilkan Shutdown dan Perubahan Runlevel

-x menampilkan catatan shutdown sistem dan perubahan runlevel bersama dengan catatan login normal. Ini berguna saat memeriksa apakah shutdown normal dicatat tepat sebelum reboot.

last -x -n 30

Pada util-linux, gunakan last -x shutdown untuk memilih entri shutdown karena -x mengaktifkan catatan sistem. Pemadaman listrik mendadak dapat terjadi tanpa entri shutdown normal.

Menafsirkan Status yang Ditampilkan dalam Output

Setiap tanda adalah petunjuk untuk penyelidikan, bukan bukti pasti penyebabnya. Misalnya, melihat crash tidak hanya menunjukkan kegagalan perangkat keras; Anda juga harus memeriksa log kernel, jurnal systemd, dan kejadian pada platform virtualisasi.

Berkas wtmp sebelumnya dan rotasi log

Membaca berkas catatan lainnya

-f membaca berkas yang diformat wtmp yang ditentukan alih-alih berkas default. Tergantung pada pengaturan rotasi log distribusi, catatan sebelumnya mungkin tetap ada di /var/log/wtmp.1 dan seterusnya.

last -f /var/log/wtmp.1

Di util-linux, Anda dapat menentukan -f beberapa kali untuk memproses beberapa file. Periksa nama file dan izin sebenarnya di pengaturan sistem Anda terlebih dahulu.

Hati-hati saat menangani catatan yang dikompresi

Jika file yang diputar dikompresi dengan gzip atau sejenisnya, jangan menganggap bahwa last dapat membacanya dengan mendekompres secara otomatis. Salin dan dekompres di area kerja terbatas tanpa merusak file asli, kemudian baca dengan -f. Untuk tujuan penyelidikan, catat juga hash dan prosedur pelestarian file asli.

Memeriksa Upaya Login yang Gagal

Hubungan Antara lastb dan btmp

lastb mirip dengan last, tetapi secara default membaca /var/log/btmp untuk menampilkan upaya login yang gagal. Tergantung pada distribusi, hak istimewa administrator mungkin diperlukan.

sudo lastb -n 20

Membantu untuk melihat alamat jarak jauh dan nama pengguna dengan kegagalan berulang, tetapi pada server yang terhubung ke internet, pemindaian otomatis umum dilakukan, jadi jangan menyimpulkan adanya pelanggaran hanya berdasarkan upaya individu.

Membandingkan dengan Catatan yang Berhasil

Bermanfaat untuk membandingkan login yang berhasil, log autentikasi SSH, firewall, dan catatan kontrol akses selama periode waktu yang sama.

last --time-format iso -s '2026-09-18 00:00'
sudo lastb --time-format iso -s '2026-09-18 00:00'

Lokasi dan metode untuk mengakses log autentikasi bervariasi tergantung pada distribusi dan konfigurasi logging. Pada sistem yang menggunakan jurnal systemd, periksa juga jurnal unit layanan terkait.

Urutan Penggunaan untuk Pemeriksaan Keamanan

Pertama, tentukan ruang lingkup pencarian dan kerangka waktu

Catat waktu mulai dan berakhir insiden yang akan diselidiki serta zona waktu server. Jika memungkinkan, gunakan --time-format iso untuk menyertakan informasi zona waktu dalam keluaran, dan juga periksa status sinkronisasi waktu dari beberapa server.

Lakukan pemeriksaan silang terhadap pengguna, host, dan terminal

Cari pengguna yang tidak terduga, alamat jarak jauh yang berbeda dari biasanya, dan waktu login serta durasi sesi yang tidak normal. Karena pemilik atau lokasi alamat IP dapat berubah dan dipengaruhi oleh proxy, VPN, dan NAT, jangan mengidentifikasi pengguna hanya berdasarkan satu alamat saja.

Periksa reboot dan celah log

Periksa last reboot, last -x, dan wtmp begins untuk menentukan rentang catatan dan batas boot. Bandingkan dengan waktu rotasi log untuk melihat apakah ada celah yang tidak dapat dijelaskan.

Buat penilaian dengan bukti lain

Verifikasi silang hasil last dengan log autentikasi SSH, jurnal systemd, log audit perintah, serta catatan akses firewall, VPN, dan cloud. Jika dicurigai adanya insiden, jangan mengubah log asli dan simpan sesuai dengan prosedur respons organisasi.

Batasan catatan last

• Ketergantungan pada file lokal: Jika wtmp hilang atau layanan tidak mencatat, hasilnya mungkin kosong.
• Batasan periode retensi: Catatan yang telah dirotasi atau dihapus tidak dapat diambil dari file saat ini.
• Kemungkinan pemalsuan: Penyerang dengan hak istimewa yang cukup dapat mengubah atau menghapus catatan lokal.
• Ketergantungan waktu: Mengubah jam sistem atau pengaturan zona waktu yang salah dapat membingungkan urutan kejadian dan waktu sesi.
• Perbedaan lingkungan: Kontainer, lingkungan instalasi minimal, dan beberapa metode akses jarak jauh mungkin tidak meninggalkan entri wtmp yang diharapkan.

Oleh karena itu, last berguna untuk dengan cepat menilai situasi dan memulai investigasi, tetapi tidak menggantikan log audit lengkap atau catatan keamanan terpusat.

Perbandingan dengan perintah yang mirip dengan last

Pertanyaan yang Sering Diajukan

Mengapa last tidak mengembalikan hasil?

Bisa jadi /var/log/wtmp tidak ada, kosong, atau sistem dikonfigurasi untuk tidak mencatat login di file itu. Periksa keberadaan file, izin, dan kebijakan pencatatan. Hasil kosong tidak berarti tidak ada catatan login sama sekali.

Apakah still logged in berarti sedang masuk saat ini?

Itu berarti tidak ada catatan keluar yang sesuai dengan login tersebut. Untuk memeriksa sesi saat ini yang sebenarnya, lebih baik menggunakan who, w, loginctl, dll. Sesi lama mungkin muncul seperti itu karena penghentian tidak normal atau catatan yang hilang.

Bagaimana saya bisa memeriksa catatan login lama?

Jika file rotasi seperti wtmp.1 tersedia, baca dengan last -f filename. Jika terkompresi, dekompres salinannya di lokasi yang aksesnya dibatasi; jangan mengubah file asli.

Apakah hasil last saja dapat membuktikan peretasan?

Tidak. Login yang tidak terduga adalah petunjuk penting, tetapi catatan lokal wtmp bisa tidak lengkap atau dimanipulasi. Anda perlu menganalisisnya bersama dengan log autentikasi, catatan jaringan, log audit perintah, dan perubahan sistem.

Ringkasan

Riwayat login terbaru dapat diperiksa dengan last, pengguna tertentu dengan last username, catatan reboot dengan last reboot, dan login yang gagal dengan lastb. Untuk periode tertentu, gunakan -s dan -t, untuk titik waktu tertentu -p, dan untuk tampilan waktu yang jelas dapat digunakan --time-format iso.

Hasil dari last hanya berlaku dalam jangkauan catatan wtmp yang tersedia saat ini. Dalam penyelidikan keamanan, Anda sebaiknya terlebih dahulu memeriksa zona waktu dan jangkauan retensi log serta memverifikasinya dengan catatan lain. Alat dasar terkait dapat dilihat bersama dalam daftar perintah Linux menurut tugas.