sudo事件在哪里报告？

Question

在我的机器上尝试一些狡猾的东西导致

ryan@debian:~$ sudo EAT_ALL_THE_COOKIES_BEFORE_DINNER
[sudo] password for ryan: 
ryan is not in the sudoers file.  This incident will be reported.

报告此事件的位置,以及如何获取所有讨厌的尝试命令的日志？

Answer 1

没关系,我刚刚在xkcd的alt-text中找到答案:

xkcd838

root在我的情况下ryan,替换为您的用户名,以便找到日志:

cat /var/spool/mail/ryan

我知道这是标记'debian',但我来找Ubuntu.所以为了其他人寻找Ubuntu输出日志的好处,我发现了sudo失败:`/ var/log/auth.log` (14认同)
在使用systemd(在我的例子中是Archlinux)的发行版中,`/ var/spool/mail`中没有任何内容.在这种情况下,您可以使用`journalctl`命令在日志中找到该报告.(@shellter - 由于封闭主题 - 不同意 - 我不得不发表评论,而不是另一个有效答案) (12认同)
除非有一些转发集,否则它不是"root"吗？整点应该是电子邮件发送给管理员.此外,当然,一旦设置了一些转发,你可以捕获假脱机文件,但你也可以使用一些邮件客户端,如邮件,钉子或其他支持从本地假脱机读取的东西(我会说这通常是除了可能从Windows世界"导入"的GUI客户端以外的情况. (6认同)
@dmnc 我可以确认这一点，`journalctl` 命令是`sudo journalctl /bin/sudo`。 (2认同)
@CJBS 在 WSL 下的 Ubuntu 中，我必须运行 `sudo service rsyslog start` 来启动日志服务。 (2认同)

Answer 2

该报告将作为电子邮件发送给root用户.许多Linux发行版将自动为该用户设置别名,将邮件定向到安装过程中创建的第一个帐户.