Qui a obtenu root

Quelque chose sur cette machine Linux est passe root. Les vrais administrateurs utilisent sudo toute la journee, donc cela seul n'est pas suspect. Mais un compte qui ne devrait jamais faire que des sauvegardes a ete ajoute au groupe sudo puis a immediatement lance un shell root. Lisez le journal d'authentification, separez l'activite admin normale, et soumettez le compte qui est passe root.