La shell history è il registro salvato dei comandi immessi in una shell da riga di comando come bash, zsh o PowerShell. Spesso include timestamp, percorsi, nomi utente, script e comandi amministrativi, a seconda della configurazione. Poiché può rivelare esattamente ciò che un operatore ha digitato, la shell history è un elemento prezioso nella cyber security.
Per i difensori, la shell history aiuta a ricostruire il comportamento dell'attaccante: ricognizione iniziale, tentativi di escalation dei privilegi, trasferimenti di file, modifiche alla persistenza e operazioni di pulizia possono lasciare tutte tracce nei comandi. Su server esposti o host compromessi, questa cronologia può esporre le tecniche utilizzate e identificare quali sistemi sono stati toccati. Per gli investigatori, è importante preservare il file prima che il sistema venga alterato. Per operatori e amministratori, ridurre l'esposizione di comandi sensibili, usare sessioni effimere quando appropriato e controllare l'archiviazione della cronologia può ridurre le perdite di informazioni. Nei casi di ransomware, la shell history può rivelare il lavoro di preparazione anche quando il payload finale non è ancora visibile.