系統命令審計功能
以下主要講解了如何把誰登錄的和登錄之後,執行了什麼命令,全部輸入到一個文件中,
並且把這個文件寫入到mysql中,再通過php程序調用mysql中的數據來顯示
一、在系統的全局變量跟添加如下環境變量 vim /etc/profile
export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });/root/test.sh "{ $(who am i)" `pwd` "$msg"; }'
上面變量跟提到的test.sh腳本內容如下:vim test.sh
#!/bin/bash
DA=`date +"%Y%m%d"`
echo $@>/root/logg$DA
echo $@>>/root/log$DA
A=`cat /root/logg$DA|awk '{print $2}'`
B=`cat /root/logg$DA|awk '{print $4}'`
C=`cat /root/logg$DA|awk '{print $5}'`
D=`cat /root/logg$DA|awk '{print $6}'`
E=`cat /root/logg$DA|awk '{print $7}'`
F=`cat /root/logg$DA|awk '{print $8}'`
H=`cat /root/logg$DA|awk '{print $9}'`
I=`cat /root/logg$DA|awk '{print $10}'`
mysql -p123 -e "insert into test.aa values('$A','$B $C','$D','$E','$F $H $I')"
2、通過上面的配置之後,就可以把用戶登錄,執行命令寫入到mysql庫中。
在mysql庫中需要把相應的表新建立出來,表的字段需要根據上面產生的文件的類型來設置,在這個環境中如下創建:
create table aa (username varchar(20,time datatime,clientip varchar(20),catalog varchar(40),command varchar(100));
二、下面講解通過syslog程序,把用戶登錄、執行過的命令存放到一個文件中,如需要,可以把這個文件通過syslog傳入到中央日誌服務器
1、在系統的全局變量中添加如下環境變量: vim /etc/profile
export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });logger "{euid=$(who am i)]":$(who am i):[`pwd`]"$msg"; }'
2、修改一下syslog.conf的配置文件
添加: *.info /var/log/client
添加上面的之前,需要把上面的:*.info;mail.none;authpriv.none;cron.none /var/log/messages 的*.info刪除
service syslog restart
3、如果需要,可以把這個文件通過syslog傳入到中央日誌服務器上。
以下是從網上截取去的資料,僅供參考:
Linux用戶操作審計記錄方案
2013-03-02 22:45:26
標籤:審計記錄方案
原創作品,允許轉載,轉載時請務必以超鏈接形式標明文章 原始出處 、作者信息和本聲明。否則將追究法律責任。http://jiechao2012.blog.51cto.com/3251753/1143762
【概述】:多人共同使用的服務器權限確實不好管理,誤操作等造成故障,無法追究,最好的辦法就是將用戶操作實時記錄到日誌,並推送到遠程日誌服務器上。包括(用戶登陸時間,目錄,操作命令及時間戳等)。以便事後追查。
環境:centos5.5 X86_64 2臺 #備註:把兩臺主機的防火牆和selinux關閉。在進行操作。
(一)日誌服務器IP:10.0.2.164
(二)客戶端服務器IP:10.0.2.165
1.先在日誌服務器10.0.2.164主機上操作:
[root@MySQL-B ~]# echo "*.info /var/log/client" >> /etc/syslog.conf
#配置日誌保存文件,把該文件第一行的*.info 提出來。單獨放一行。
[root@MySQL-B ~]# service syslog restart #重啓syslog日誌服務。
Shutting down kernel logger: [ OK ]
Shutting down system logger: [ OK ]
Starting system logger: [ OK ]
Starting kernel logger: [ OK ]
[root@MySQL-B ~]# vim /etc/sysconfig/syslog #接收客戶端寫入。
把SYSLOGD_OPTIONS="-m 0" 更改爲:SYSLOGD_OPTIONS="-m 1 -r"
2.然後在客戶端服務器10.0.2.165主機上操作:
[root@MySQL-A ~]# vim /etc/profile #添加如下行。
export PROMPT_COMMAND='{ msg=$(history 1 | { read x y; echo $y; });logger "[euid=$(whoami)]":$(who am i):[`pwd`]"$msg"; }'
[root@MySQL-A ~]# source /etc/profile #重新手動source更新。
2.1.客戶機修改日誌服務器10.0.2.165主機上操作:
[root@MySQL-A ~]# echo "10.0.2.164 logserver" >> /etc/hosts #日誌服務器地址。
[root@MySQL-A ~]# echo "*.info @logserver" >> /etc/syslog.conf
#將info日誌推送到日誌服務器,把該文件第一行的*.info 提出來。單獨放一行。
[root@MySQL-A ~]# /etc/init.d/syslog restart #重啓syslog日誌。
Shutting down kernel logger: [ OK ]
Shutting down system logger: [ OK ]
Starting system logger: [ OK ]
Starting kernel logger: [ OK ]
3.測試,在客戶端主機上10.0.2.165主機上測試並操作:
[root@MySQL-A ~]# test
[root@MySQL-A ~]# echo "this is a test 1"
this is a test 1
[root@MySQL-A ~]# echo "this is a test 2"
this is a test 2
[root@MySQL-A ~]# echo "this is a test 3"
this is a test 3
[root@MySQL-A ~]# echo "this is a test 4"
this is a test 4
[root@MySQL-A ~]# echo "this is a test 5"
this is a test 5
4.返回日誌服務器10.0.2.164主機上看結果,是否記錄下來客戶端主機執行的操作?
[root@MySQL-B ~]# cat /var/log/client
Apr 6 10:37:55 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test1"
Apr 6 10:37:59 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test2"
Apr 6 10:38:01 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test3"
Apr 6 10:38:04 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test4"
Apr 6 10:38:06 10.0.2.165 root: [euid=root]:root pts/1 Apr 6 10:37 (10.0.2.188):[/root]echo "this is a test5"
#操作時間 #操作IP #有效用戶 #實際登陸時間 #路徑 #使用的命令