comando last

O comando last exibe em colunas, a lista de usuários que autenticaram no sistema contidos no arquivo /var/log/wtmp:

1. nome do usuário;
2. terminal em que se autenticou;
3. host onde ele logou;
4. data e hora em que se autenticou e quando saiu do sistema – still logged in quer dizer que ainda está logado;

Exibir os usuários que autenticaram no sistema

# last
root     pts/1        10.1.5.18        Thu Feb  2 15:23 - 15:32  (00:08)    
root     pts/0        10.1.5.11        Thu Feb  2 09:43   still logged in   
root     pts/0        10.1.5.11        Wed Feb  1 12:00 - 17:17  (05:16)    
root     pts/1        10.1.5.18        Wed Feb  1 10:25 - 09:29  (23:04)    
root     pts/0        10.1.5.11        Wed Feb  1 10:15 - 11:49  (01:34)

Exibir um usuário específico

# last -F adminpr
adminpr  pts/1        10.1.5.11        Thu Feb  2 19:11:03 2017 - Thu Feb  2 19:11:10 2017  (00:00) 

Exibir quem logou no terminal pts/1

# last pts/1
adminpr  pts/1        10.1.5.11        Thu Feb  2 19:11 - 19:11  (00:00)    
root     pts/1        10.1.5.18        Thu Feb  2 15:23 - 15:32  (00:08)    
root     pts/1        10.1.5.18        Wed Feb  1 10:25 - 09:29  (23:04)

Quem reiniciou o sistema

# last -x reboot

Quem desligou o sistema

# last -x shutdown