Mac의 sudo 기록 확인하기

sudo란 무엇이고, 기록이 왜 중요한가요

sudo는 관리자가 명령 하나를 root 사용자로 실행하게 해 줍니다. root는 시스템 무결성 보호(System Integrity Protection) 밖에 있는 Mac의 모든 것을 바꿀 수 있는 계정입니다. 터미널에서 직접 입력하며, 설정 스크립트와 개발자 도구도 암호를 물은 뒤 이를 실행하는 경우가 많습니다.

그래서 sudo 기록은 쓸모 있는 기록이 됩니다. 이번 달에 관리자 명령을 실행한 적이 없는데 목록이 비어 있지 않다면, 다른 무언가가 실행한 것입니다. 웹 페이지에서 붙여 넣은 스크립트일 수도 있고, 안내보다 더 많은 일을 한 설치 프로그램일 수도 있습니다. 직접 실행했다면, 설정 스크립트가 무엇을 바꿨는지 빠르게 떠올리는 방법이 됩니다.

Mac에서 sudo 기록을 확인하는 방법

macOS에는 sudo 기록 파일이 따로 없습니다. 사용할 때마다 통합 시스템 로그에 기록되며, 터미널에서 다음과 같이 검색할 수 있습니다.

log show --predicate 'process == "sudo"' --last 30d

출력이 길고 sudo의 다른 메시지도 섞여 있습니다. Sudo Activity는 같은 검색을 대신 실행해 명령을 기록한 줄만 골라내고, 각각을 날짜와 실행된 전체 명령과 함께 보여 줍니다. 예를 들면 /usr/bin/whoami나 설치 프로그램의 스크립트입니다. 가장 최근 항목 열 개가 최신순으로 표시됩니다. 최근 30일 동안 로그에 sudo 명령이 없으면 페이지에 그렇게 표시됩니다.

로그를 읽을 수 없을 때

목록이 비어 있는 것과 로그를 읽을 수 없는 것은 다르며, 페이지도 이 둘을 구분합니다. macOS가 로그 읽기를 거부하거나 실패하면, Sudo Activity는 활동이 없었다고 보고하는 대신 이유와 함께 Sudo history unavailable이라고 표시합니다.

다루지 않는 것

Sudo Activity는 sudo로 실행된 명령을 보여 줍니다. 설치 프로그램이나 시스템 설정의 변경을 승인하려고 macOS 대화상자에 암호를 입력한 경우는 나열하지 않습니다. 이는 macOS가 sudo 없이 처리하기 때문입니다. Mac에 가장 깊이 접근하는 것이 무엇인지 알아보려면, 전체 디스크 접근 권한이나 손쉬운 사용 권한을 가진 앱은 Privacy Access에서, 로그인 시 시작되는 것은 Startup Items에서 확인하세요.

Mac에서 읽기