Historial de shell y su fiabilidad

La shell bash guarda los comandos de la sesión en una lista en memoria y la vuelca al archivo ~/.bash_history al cerrar la sesión, no mientras se teclea. Eso tiene consecuencias para quien investiga: los comandos de una sesión todavía abierta no están en el archivo; una sesión que se corta de golpe puede no llegar a escribirlos; y si dos sesiones de la misma cuenta se cierran, la última puede sobrescribir lo que dejó la primera.

Además, el archivo solo contiene lo que tecleó una shell interactiva de bash. Lo que ejecuta un programa por su cuenta, una tarea programada o un acceso con otra shell no queda ahí. Un historial es un testimonio útil y parcial, nunca el registro completo de lo ocurrido.

Cuando el sistema define la variable HISTTIMEFORMAT, bash escribe antes de cada comando una línea que empieza por # y un número: los segundos transcurridos desde el 1 de enero de 1970 en UTC. Es el mismo reloj que usan otros muchos artefactos. Convertir ese número a hora legible es el paso que permite meter los comandos en una línea de tiempo junto a los registros del sistema.

No hace falta calcularlo a mano: el laboratorio trae la tabla de conversión ya hecha. Lo importante es cruzar la hora con las otras fuentes y no confiar en el orden de las líneas del archivo sin comprobar su marca.

Abre el historial de svc-tienda y la tabla epoca-a-utc.txt.

El historial se puede desactivar de varias formas. Una de ellas es hacer que ~/.bash_history sea un enlace simbólico a /dev/null: todo lo que bash intente escribir se descarta. Se ve en un listado largo con ls -l: la línea empieza por l y muestra el destino con una flecha. Otra es vaciar la variable de historial al comenzar la sesión, y esa no deja ningún rastro en el sistema de archivos.

Un enlace a /dev/null no es, por sí solo, una prueba de ataque. Hay administradores que lo ponen por política. Lo que lo vuelve sospechoso o inocuo es cuándo se creó: la fecha del enlace, comparada con la ventana del incidente.

Abre ls-historiales.txt, el listado de los archivos de historial de cada cuenta.

last.txt muestra dos sesiones de svc-tienda: una de las 02:07 y otra de las 02:41. El historial de esa cuenta solo contiene comandos de la primera, y la fecha de modificación del archivo coincide con el cierre de esa primera sesión. De la segunda no hay ni un comando. Hay varias explicaciones posibles: que no se tecleó nada, que el historial se desactivó al empezar esa sesión, que la shell se cerró sin escribir o que se usó otra shell.

La respuesta honesta es que la evidencia disponible no lo decide. Lo que sí puedes afirmar es que hubo una sesión y que su historial no está. Qué hizo en ella se busca en otras fuentes: procesos, archivos creados, unidades nuevas, cambios de paquetes.