Unix系统操作命令日志审计

发布时间：2022-10-04 11:24:26 所属栏目：Unix 来源：

导读：　　以下贴出Linux系统的bash下的配置，其它的有兴趣的自己去研究啦。

　　1.4 Redhat Linux系统

　　1.4.1 配置日志本地存储及转发

　　1. 备份syslog.conf文件

　　cp /etc/syslog.conf/etc/syslo

　　以下贴出Linux系统的bash下的配置，其它的有兴趣的自己去研究啦。

　　1.4 Redhat Linux系统

　　1.4.1 配置日志本地存储及转发

　　1. 备份syslog.conf文件

　　cp /etc/syslog.conf/etc/syslog.conf.bak

　　2. 编辑syslog.conf文件

　　vi /etc/syslog.conf

　　在文件中加入以下内容：

　　user.notice /var/log/authlog

　　3. 创建日志记录文件：

　　touch /var/log/authlog

　　1.4.2 配置记录用户登录日志、操作命令日志

　　对不同Shell环境，需要修改及配置的文件内容有所不同，以下分别说明。

　　1.4.2.1 Bourne-Again Shell（sh、bash）

　　对于Bourne-Again Shell、Bourne Shell（Linux中指向Bourne-Again Shell），修改/etc/bashrc文件。

　　vi /etc/bashrc

　　在文件最后加入以下内容（蓝色）UNIX 系统日志，将其中的192.168.100.90替换为资源的IP：

　　# Add content in /etc/bashrc

　　# Log bash user login and command history

　　up_client_ip=`(who am i|cut -d$ -f2|cut -d$ -f1)`

　　up_nowtime=`(date -d now +"%Y-%m-%d %T")`

　　logger -p user.notice -- class=\"HOST_LOGIN\" type=\"2\" time=\"$up_nowtime\" src_ip=\"$up_client_ip\" dst_ip=\"192.168.100.90\" primary_user=\"\" secondary_user=\"$(whoami)\" operation=\"\" content=\"login successful\" authen_status=\"Success\" log_level=\"1\" session_id=\"$$\" 2>/dev/null;

　　export PROMPT_COMMAND='{ logger -p user.notice -- class=\"HOST_COMMAND\" type=\"3\" time=\"$(date -d now +"%Y-%m-%d %T")\" src_ip=\"$up_client_ip\" dst_ip=\"192.168.100.90\" primary_user=\"\" secondary_user=\"$(whoami)\" operation=\"$(history 1 | { read x y; echo $y; })\" content=\"command\" authen_status=\"\" log_level=\"1\" sessionid=\"$$\" 2>/dev/null; }'

　　1.4.3 重新启动syslogd进程

　　/etc/rc.d/init.d/syslog restart

　　或者

　　/etc/rc.d/init.d/syslog stop

　　/etc/rc.d/init.d/syslog start

　　1.4.4 测试确认

　　1. 使用root（或普通用户）通过ssh、telnet或者rlogin方式登录服务器；

　　2. 在/var/log/authlog中会记录登录日志，如下所示：

　　bashuser: type="2" time="2011-06-29 10:44:03" src_ip="192.168.14.83" dst_ip="192.168.99.243" primary_user="" secondary_user="bashuser" operation="" content="login successful" authen_status="Success" log_level="1" sessionid="12182"

　　bashuser: type="3" time="2011-06-29 10:44:03" src_ip="192.168.14.83" dst_ip="192.168.100.90" primary_user="" secondary_user="bashuser" operation="uname -a" content="command" authen_status="" log_level="1" sessionid="12182"。

（编辑：百客网 - 百科网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!