🛠 Как узнать, кто перезагрузил сервер?

Сегодня покажу вам простой способ выяснить, кто именно инициировал перезагрузку сервера. Иногда бывает так: сервер внезапно ушёл в ребут, и ты не уверен — это был плановый рестарт, баг или кто-то нажал reboot не подумав. Давайте разбираться!

🔍 Шаг 1: Проверяем журнал перезагрузки

last -x | grep reboot

Эта команда покажет дату и время перезагрузки. Но кто?

🔍 Шаг 2: Ищем инициатора в журнале auditd (если он включён)

ausearch -k reboot

или

ausearch -x /sbin/reboot

Это поможет, если у вас включён auditd. Если нет — смотри следующий шаг.

🔍 Шаг 3: Проверка journalctl

journalctl -b -1 | grep -i 'reboot\|shutdown\|poweroff'

Здесь могут быть строки вроде:

systemd-logind[...]: Power key pressed.
systemd-logind[...]: Rebooting system.

или

systemd[1]: Received request to reboot from UID=1000

UID поможет понять, какой пользователь инициировал ребут.

🔍 Шаг 4: Кто был в системе до ребута?

last -F | head

Посмотри, кто был залогинен незадолго до перезагрузки. Возможно, это и есть "виновник".



🧠 Мой совет: Настрой логирование и аудит таких событий заранее — особенно на продакшене. А ещё можешь повесить алерт на неожиданные ребуты через Prometheus + Alertmanager.

Полезно? Делитесь в комментах своими кейсами, когда сервер ушёл в ребут «сам по себе» 😅

#Linux@linux_odmin #LinuxTips@linux_odmin #Команды@linux_odmin

👉 @linux_odmin