/var/log/secureとは

/var/log/secure

この用語のポイント

認証・セキュリティ関連のログが記録されるファイルだよ

UNIX系のOSで使われるよ

sshdとかsudoコマンドとかの履歴が記録されているよ

簡単に書くよ

/var/log/secureとは

UNIX系のOS（コンピュータの人格に相当するソフト）（Linuxとか）で使われるファイルのひとつ
であり

sshdのお仕事履歴とか、sudoコマンドの実行履歴とか、あれやこれやの認証・セキュリティ関連のログが記録されているファイル
です。

表示するよ

詳しく書くよ

順番に見ていきましょう。
まずは予備知識として

・ログ
・telnet
・SSH
・sshd
・「su」コマンド
・「sudo」コマンド

について簡単に説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

ログは、コンピュータさんの世界におけるやったことや起こったことの「記録」です。
よく分からない人はコンピュータさんがつけている日記だと思ってください。
コンピュータさんは必要に応じてログを残しています。

/var/log/secure

telnetは「他のコンピュータを遠隔操作するための仕組み」です。

/var/log/secure2

SSHは「通信内容が暗号化されたtelnet」です。

/var/log/secure3

SSHで接続される方のお仕事をしているプログラムを「sshd」と言います。
sshdが動いていないコンピュータに対しては、SSHで接続することはできません。

/var/log/secure4

「su」コマンドは、ユーザを切り替えるときに使うコマンドです。
「sudo」コマンドは、ユーザを切り替えてコマンドを実行するときに使うコマンドです。

以上を踏まえて

sshdやsuコマンド、sudoコマンド、あれやこれやうんちゃらかんちゃらの認証・セキュリティ関連のログを記録したファイル

が「/var/log/secure」です。

「var」ディレクトリの中の「log」ディレクトリの中の「secure」ファイルで「/var/log/secure」ね。
UNIX系のOS（LinuxとかMacとか）で使われるファイルです。

/var/log/secure5

私の環境を例に説明します。

SSHで接続したところ「/var/log/secure」には、以下のログが記録されました。

Mar 28 12:23:01 localhost sshd[14094]: Accepted password for root from 192.168.1.3 port 41352 ssh2
Mar 28 12:23:02 localhost sshd[14094]: pam_unix(sshd:session): session opened for user root by (uid=0)

ざっくり要約すると

「192.168.1.3」から「root」ユーザとしてSSH接続してきたぜ～

的なことが書いてあります。

次に

sudo ls

を実行したところ、以下の内容が「/var/log/secure」に記録されました。

Mar 28 12:24:46 localhost sudo: root : TTY=pts/0 ; PWD=/var/log ; USER=root ; COMMAND=/bin/ls

これも、ざっくり訳すと

「root」ユーザとして「/bin/ls」コマンドを実行したぜ～

的なことが書いてあります。

このように、sshdのお仕事履歴とか、sudoコマンドの実行履歴とか、認証・セキュリティ関連のログが記録されているファイルが「/var/log/secure」です。

もちろん、記録される内容は、これがすべてではありません。
他にも記録される内容はあります。

例えば

su

を実行したところ、以下の内容が「/var/log/secure」に記録されました。

Mar 28 12:30:19 localhost su: pam_unix(su:session): session opened for user root by root(uid=0)

「su」コマンドで「root」ユーザとして接続し直されたことが記録されています。

SSHで接続したときのログと比べてみましょう。

■SSH接続
Mar 28 12:23:02 localhost sshd[14094]: pam_unix(sshd:session): session opened for user root by (uid=0)

■suコマンド実行
Mar 28 12:30:19 localhost su: pam_unix(su:session): session opened for user root by root(uid=0)

並べてみると、suコマンドの実行履歴と解釈することもできますが、接続に関するログとも解釈できそうですね。

接続されたぜー！（接続の仕方はSSHだよ）

や

接続されたぜー！（接続の仕方はsuコマンドだよ）

とも読めます。

なお「/var/log/secure」はテキストファイル（中身が文字だけのファイル）です。
例えば

more /var/log/secure

等のコマンドを実行することで、中身を確認できます。

実際に中身を見てみるのが手っ取り早いでしょうね。
そうすると「あぁ、これのことか」とイメージできると思います。