rootの不正使用について

[Mr.ちん]

所管システムへのｒｏｏｔによる不正ログイン形跡があったので、トレース方法についてアドバイスいただきたい。

所管システムに組み込んでいるｒｏｏｔの監査プログラムでｒｏｏｔによる不正アクセスが記録されました。このプログラムがユーザーからｒｏｏｔでログインされる場合、ログインの直後、ユーザー名の入力を求めており、もし入力がなく、そのままエンターキーを押すと強制的にログアウトされる仕組みになっています。

今回の監査ログでは、ｒｏｏｔでログインし、途中で強制ログアウトされたことが判明しております。

しかし、ｗｔｍｐ/ｂｔｍｐを調べても該当するログインがありません。

ほかになにかのログを調べばわかるんでしょうか。

[hazelwood]

上記の仕組みをどう組み込んでいらっしゃるのか分からないので、はずしているかもしれませんが、

他のユーザからsuなどでrootになったということは無いでしょうか？

その場合、sulogに記録が残っているはずです。

また、wtmp/btmp/sulogに記録を残さないとすると、remshでshを起動されたとか。