Какие меры необходимо принять, чтобы устранить по-максимум следы регистрации и работы в Linux системе?

Кроме логов и файлов в системе-то и нет ничего. Вопрос в том, какие логи чистить. Например, wtmp всё-равно зафиксирует факт твоего логаута.

dd if=/dev/zero of=/dev/sda

а ты с какой целью интересуешься? Небось, хакир?

Например, wtmp всё-равно зафиксирует факт твоего логаута.

а кто в него пишет, какая программа?

Раскрой-ка еще одну очень важную деталь: есть ли физический доступ к компьютеру?

не, ты что, просто у них на работе нужно на каждый логин писать расписку в бумажный журнал и заверять у зав. отдела, инфа 146%.

В нормальных конторах логи собираются централизовано, так что чисть — не чисть, а логи уже ушли в недоступное юзеру место.

Не знаю. Наверно logout.

Вопрос в том, какие логи чистить. Например, wtmp всё-равно зафиксирует факт твоего логаута.

Имея на руках рута нет проблем это обойти :)

А как? -w на /var/log/wtmp? :)

Наверное cron'ом, после выхода по-таймеру...

Раскрой-ка еще одну очень важную деталь: есть ли физический >доступ к компьютеру?

А вот было бы интересно услышать оба варианта)))

Да хоть как предложено выше - кроном, при этом крон можно сделать совершенно не подозрительным на случай если он тоже есть в логах.
Достаточно нужный код поместить в любой системный скрипт, а после выполнения удалить задачу из crontab и заменить скрипт на оригинальный.

Но по сути при наличии рута можно сделать что угодно :)

А вот было бы интересно услышать оба варианта)))

Ну если у тебя есть физический доступ, то ты можешь просто запустить систему в ro, считать отттуда нужные данные и никаких тебе логов.

Если есть доступ, проблем 0. Если нет — сначала надо его как-то получить, да еще и рутовский…

Какие меры необходимо принять, чтобы устранить по-максимум следы регистрации и работы в Linux системе ?

Никаие. Если лезешь туда, где за этим не следят, то пофигу. Если лезешь туда, где следят, тоже пофигу, так как remote syslog.

а кто в него пишет, какая программа?

wtmp is maintained by login(1), init(8), and some versions of getty(8) (e.g., mingetty(8) or agetty(8)). None of these programs creates the file, so if it is removed, record-keeping is turned off.